SCS-C03：AWS Certified Security - Specialty データ保護 問7
データ保護／保管データの保護保管データの暗号化で、鍵の作成・無効化・アクセス権限を自分で管理し、年次の自動ローテーションを有効にし、さらに誰がいつ鍵を使ったかを監査したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「データ保護」に対応。実際の試験問題ではありません）
- ASSE-S3（Amazon S3 管理キー）を使えば、鍵の管理と使用監査を自分で行える
- BAWS マネージドキーを使えば、ローテーション周期や権限を自分で細かく管理できる
- C暗号化は行わず、アクセスログの取得だけで代替する
- DAWS KMS のカスタマー管理キー（CMK）を使い、自動キーローテーションを有効化し、キーポリシーで権限を管理して CloudTrail で使用を監査する
正解：D
解説
AWS KMS のカスタマー管理キー（CMK）は、鍵の作成・無効化・キーポリシーによるアクセス権限管理を顧客が行え、年次の自動キーローテーションを有効化できます。鍵の使用は CloudTrail に記録され監査できます。SSE-S3 や AWS マネージドキーはローテーション周期や権限の細かな制御を顧客が行えず、無暗号化は要件を満たしません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。SSE-S3 は AWS が鍵を管理する方式で、権限管理や使用監査を顧客が細かく行えません。
- B誤り。AWS マネージドキーは AWS が管理し、ローテーション周期やキーポリシーを顧客が細かく制御できません。
- C誤り。暗号化しないのは保管データ保護の要件に反します。
- D正しい。KMS の CMK なら、権限管理・自動ローテーション・CloudTrail による使用監査をすべて満たせます。