SCS-C03：AWS Certified Security - Specialty データ保護 問10
データ保護／保管データの保護S3 の保管時暗号化（SSE）の方式のうち、暗号化キーのアクセス制御（キーポリシー）と使用監査（CloudTrail）を AWS 上で細かく行いたい場合に適した方式はどれか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「データ保護」に対応。実際の試験問題ではありません）
- ASSE-S3（S3 管理キーで、キーの細かな制御・監査はできない）
- BSSE-C（顧客がキーを毎回渡す方式で、AWS 側で鍵の監査はしない）
- CSSE-KMS（AWS KMS のキーで暗号化し、キーのアクセス制御・使用監査を行える）
- D暗号化せずバケットポリシーだけで保護する
正解：C
解説
SSE-KMS は AWS KMS のキーで S3 を保管時暗号化し、キーポリシーによるアクセス制御や CloudTrail による使用監査を細かく行えます。SSE-S3 は S3 管理キーで制御の余地が小さく、SSE-C は顧客がキーを毎回渡す方式で AWS 側の鍵監査はなく、バケットポリシーは暗号化ではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。SSE-S3はS3管理キーで、キーポリシーやCloudTrail監査の細かな制御はできません。
- B誤り。SSE-Cは顧客がキーを渡す方式で、AWSでの鍵の監査・管理はしません。
- C正しい。キーの制御・監査が要るならSSE-KMSです。
- D誤り。バケットポリシーはアクセス制御で、保管時暗号化ではありません。