SCS-C03：AWS Certified Security - Specialty データ保護 問1
データ保護／転送中データの保護ロードバランサーで終端する TLS 通信について、古い脆弱なプロトコルや暗号スイート（例: TLS 1.0／1.1）を無効化し、強力な暗号スイートのみを許可したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「データ保護」に対応。実際の試験問題ではありません）
- Aロードバランサーのアクセスログを有効化すれば、弱い暗号は使われなくなる
- BElastic Load Balancing の定義済みセキュリティポリシー（predefined security policy）で、許可する TLS プロトコルと暗号スイートを制限する
- Cセキュリティグループで TLS バージョンを指定して弱い暗号を拒否する
- DAWS KMS で TLS の暗号スイートを管理する
正解：B
解説
Elastic Load Balancing では、HTTPS／TLS リスナーに定義済みセキュリティポリシー（predefined security policy）を適用し、許可する TLS プロトコルのバージョンと暗号スイートを制御します。古い TLS 1.0／1.1 を除外したポリシーを選べば、弱い暗号の利用を防げます。セキュリティグループは L3/L4 の制御で TLS バージョンを判別できず、KMS は鍵管理、アクセスログは可観測性が目的です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。アクセスログは記録（可観測性）であり、弱い暗号の利用を防ぐ設定ではありません。
- B正しい。ELB の定義済みセキュリティポリシーで、許可する TLS プロトコルと暗号スイートを制限できます。
- C誤り。セキュリティグループは L3/L4 の制御で、TLS バージョンや暗号スイートの判別はできません。
- D誤り。KMS は保管データ等の鍵管理サービスで、TLS ネゴシエーションの暗号スイート制御は行いません。