SCS-C03：AWS Certified Security - Specialty データ保護 問11
データ保護／保管データの保護KMS のカスタマー管理キーについて、どの IAM プリンシパルがその鍵を使って暗号化/復号できるかを制御し、特定のサービスやロールにのみ鍵の使用を許可したい。用いる仕組みはどれか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「データ保護」に対応。実際の試験問題ではありません）
- Aセキュリティグループ
- BS3 ライフサイクルポリシー
- CRoute 53 のルーティングポリシー
- DKMS キーポリシー（および必要に応じてグラント）で鍵の使用許可を制御する
正解：D
解説
KMS のキーポリシー（必要に応じてグラント）は、どのプリンシパルがその鍵で暗号化/復号などの操作をできるかを制御し、特定のサービスやロールにのみ鍵の使用を許可できます（IAM ポリシーと組み合わせて評価）。セキュリティグループ・S3 ライフサイクル・Route 53 ルーティングは、鍵の使用許可の制御ではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。セキュリティグループはネットワーク制御で、鍵の使用許可ではありません。
- B誤り。S3ライフサイクルはストレージ管理です。
- C誤り。Route 53ルーティングはDNSです。
- D正しい。鍵の使用許可の制御はKMSキーポリシー（とグラント）です。