SCS-C03：AWS Certified Security - Specialty データ保護 問9
データ保護／機密データ・認証情報・暗号鍵の保護アプリケーションが使用するデータベースの認証情報を、ソースコードに直書きせず安全に保管し、アプリを停止させずに定期的に自動ローテーションしたいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「データ保護」に対応。実際の試験問題ではありません）
- A認証情報を環境変数に平文で設定し、手動で時々変更する
- BAWS Secrets Manager にデータベース認証情報を保管し、対応するデータベース（Amazon RDS 等）向けの自動ローテーションを有効化する
- C認証情報を Amazon S3 に暗号化せずに保管する
- D認証情報を CloudWatch Logs に出力して一元管理する
正解：B
解説
AWS Secrets Manager はデータベース認証情報や API キーなどを暗号化して保管し、Amazon RDS などに対応した自動ローテーション（ローテーション用 Lambda により新旧の切り替え）を提供します。これにより、コードへの直書きを避け、アプリを止めずに定期ローテーションできます。環境変数への平文設定や S3 への無暗号化保管、ログ出力は漏えいリスクが高く不適切です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。環境変数への平文設定と手動変更は、漏えいリスクが高く自動ローテーションにもなりません。
- B正しい。Secrets Manager に保管し、対応データベース向けの自動ローテーションを有効化すれば要件を満たせます。
- C誤り。S3 への無暗号化保管は重大な漏えいリスクがあり不適切です。
- D誤り。CloudWatch Logs への機密情報の出力は、むしろ漏えいリスクを高めます。