SAA-C03：AWS Certified Solutions Architect - Associate セキュアなアーキテクチャの設計 問24
セキュアなアーキテクチャの設計／適切なデータセキュリティ制御の決定規制要件により、暗号鍵を顧客専用のシングルテナントなハードウェアセキュリティモジュール（FIPS 140-2 レベル3）で管理し、鍵の生成・保管・利用を自社で完全に制御する必要があります。最も適切なサービスはどれですか。
当サイトのオリジナル問題（SAA-C03：AWS Certified Solutions Architect - Associateの出題範囲「セキュアなアーキテクチャの設計」に対応。実際の試験問題ではありません）
- AAWS KMS の AWS マネージドキー
- BAWS Secrets Manager
- CAWS Certificate Manager (ACM)
- DAWS CloudHSM
正解：D
解説
AWS CloudHSM は、顧客専用（シングルテナント）の FIPS 140-2 レベル3 認定のハードウェアセキュリティモジュールを提供し、鍵の生成・保管・利用を顧客が完全に制御できます。KMS が利用する HSM も FIPS 検証済みですが、マルチテナントで AWS が管理する要素が大きい点が CloudHSM との決定的な違いです（弁別の決め手は FIPS のレベルではなく、専用 HSM か・顧客が完全制御するか）。Secrets Manager は認証情報の保管・ローテーション、ACM は TLS 証明書の管理サービスであり、いずれも専用 HSM の要件を満たしません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。KMS の AWS マネージドキーはマルチテナント環境で AWS が多くを管理するため、顧客専用 HSM の要件を満たしません。
- B誤り。Secrets Manager はシークレットの保管とローテーションのサービスで、専用 HSM による鍵管理を提供しません。
- C誤り。ACM は TLS/SSL 証明書の発行・管理サービスで、暗号鍵を専用 HSM で管理する用途とは異なります。
- D正しい。CloudHSM は顧客専用のシングルテナント HSM（FIPS 140-2 レベル3）を提供し、鍵を自社で完全に制御できます。