SCS-C03：AWS Certified Security - Specialty データ保護 問5
データ保護／転送中データの保護Amazon S3 バケットへのアクセスを、社内の特定の VPC からのリクエストだけに限定し、インターネット経由のアクセスを拒否したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「データ保護」に対応。実際の試験問題ではありません）
- Aバケットを一度完全にパブリックにしてから、不要なアクセスを後で個別に削除する
- BS3 用の VPC ゲートウェイエンドポイントを作成し、バケットポリシーの条件（aws:sourceVpce）で当該エンドポイント経由のアクセスのみを許可する
- Cセキュリティグループで S3 へのインターネットアクセスを拒否する
- DAWS KMS で S3 へのアクセス元 VPC を制限する
正解：B
解説
S3 用の VPC ゲートウェイエンドポイントを作成し、バケットポリシーの条件 aws:sourceVpce（または aws:SourceVpc）で当該エンドポイント経由のアクセスのみを許可すると、インターネット経由を含むそれ以外の経路からのアクセスを拒否できます。S3 はセキュリティグループの対象ではなく、KMS はアクセス元 VPC の制限を行いません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。一度パブリックにするのは情報漏えいのリスクがあり、最小権限にも反します。
- B正しい。VPC ゲートウェイエンドポイント＋バケットポリシーの aws:sourceVpce 条件で、特定 VPC からのみに限定できます。
- C誤り。Amazon S3 はセキュリティグループの対象ではなく、これでは制御できません。
- D誤り。KMS は鍵管理サービスで、S3 へのアクセス元 VPC を制限する仕組みではありません。