SCS-C03：AWS Certified Security - Specialty データ保護 問6
データ保護／転送中データの保護Amazon S3 バケットへの接続を暗号化された通信（HTTPS／TLS）のみに限定し、暗号化されていない HTTP 接続を拒否したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「データ保護」に対応。実際の試験問題ではありません）
- ASSE-KMS でオブジェクトを暗号化すれば、HTTP 接続は拒否される
- Bブロックパブリックアクセスを有効にすれば、HTTP 接続は拒否される
- Cバケットポリシーで条件 aws:SecureTransport が false のリクエストを Deny し、暗号化されていない接続を拒否する
- Dバージョニングを有効にすれば、HTTP 接続は拒否される
正解：C
解説
S3 バケットポリシーで、条件 aws:SecureTransport が false（＝暗号化されていない HTTP）のリクエストを Deny すると、HTTPS（TLS）接続のみに限定できます。SSE-KMS は保管時の暗号化、ブロックパブリックアクセスは公開防止、バージョニングは世代管理であり、いずれも転送時の暗号化を強制するものではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。SSE-KMS は保管データの暗号化で、転送中の HTTP 接続を拒否するものではありません。
- B誤り。ブロックパブリックアクセスは公開設定の防止で、HTTP／HTTPS の別を制御しません。
- C正しい。aws:SecureTransport が false のリクエストを Deny すれば、暗号化されていない接続を拒否できます。
- D誤り。バージョニングは世代管理で、転送時の暗号化の強制とは無関係です。