Q24 — AWS SAA-C03 第10章

第 24/100 問 | ← 第10章

Q624. ある企業がECサイトアプリケーションを構築しており、顧客の機密情報を保存する必要があります。同社は、顧客がウェブサイト上で購入トランザクションを完了できるようにする必要があります。また、データベース管理者からでさえも機密顧客データを保護する必要があります。これらの要件を満たすソリューションはどれですか？

• A. 機密データをAmazon Elastic Block Store（Amazon EBS）ボリュームに保存します。EBS暗号化を使用してデータを暗号化し、IAMインスタンスロールでアクセスを制限します。
• B. 機密データをAmazon RDS for MySQLに保存します。AWS Key Management Service（AWS KMS）によるクライアントサイド暗号化を使用してデータを暗号化します。 ✓
• C. 機密データをAmazon S3に保存します。AWS Key Management Service（AWS KMS）によるサーバーサイド暗号化を使用してデータを暗号化し、S3バケットポリシーでアクセスを制限します。
• D. 機密データをAmazon FSx for Windows Serverに保存します。アプリケーションサーバーにファイル共有をマウントし、Windowsファイルアクセス許可でアクセスを制限します。

正解: B. 機密データをAmazon RDS for MySQLに保存します。AWS Key Management Service（AWS KMS）によるクライアントサイド暗号化を使用してデータを暗号化します。

解説

機密顧客情報の保存と、データベース管理者からの保護という要件を満たすには、最も適切なソリューションは以下の通りです： B. 機密データをAmazon RDS for MySQLに保存し、AWS Key Management Service（AWS KMS）によるクライアントサイド暗号化を用いてデータを暗号化する。 B. Amazon RDS for MySQLは、顧客情報を安全に保存・管理できるマネージドデータベースサービスを提供します。AWS KMSによるクライアントサイド暗号化を採用することで、データはデータベースに送信される前に暗号化されます。これにより、データは静止時および転送時においても暗号化された状態が保たれ、追加のセキュリティ層が確保されます。 Aは最適な選択肢ではありません： A. Amazon EBSボリュームへの機密データ保存とEBS暗号化の利用では、クライアントサイド暗号化と同等のセキュリティレベルが得られません。この場合、暗号化処理はデータベース管理者が実行することになり、結果として管理者自身からデータを保護できません。 Cも最適な選択肢ではありません： C. Amazon S3への機密データ保存とAWS KMSによるサーバーサイド暗号化は、S3内での静止時データ保護には有効ですが、Amazon RDS for MySQLのようなリレーショナルデータベースが持つトランザクション機能を提供しません。さらに、S3バケットポリシーによるアクセス制御は、ECサイトアプリケーションに必要な細かいアクセス制御を十分に実現できない可能性があります。 Dも最適な選択肢ではありません： D. Amazon FSx for Windows Serverへの機密データ保存とWindowsファイルアクセス許可による制御は、機密顧客情報の保存・管理には不適切です。Amazon FSx for Windows Serverは、Windowsベースのアプリケーション向けのフルマネージドファイルストレージサービスであり、リレーショナルデータベースと同等のセキュリティ性やトランザクション処理能力を備えていません。 したがって、機密顧客情報を保存し、データベース管理者からでも保護するという要件を満たす最も適切なソリューションは、Amazon RDS for MySQLへのデータ保存とAWS KMSによるクライアントサイド暗号化（選択肢B）です。