Q87 — AWS SAA-C03 第15章

第 87/100 問 | ← 第15章

Q1187. ある企業がブログプラットフォームを運用しています。セキュリティ監査の結果、このプラットフォームで使用されている Amazon RDS DB インスタンスが静止時のデータ暗号化に対応していないことが判明しました。同社は、30日以内にこの DB インスタンスを暗号化する必要があります。ソリューションアーキテクトは、ダウンタイムを最小限に抑えつつこの要件を満たすために、何を行うべきでしょうか？

• A. DB インスタンスの読み取り専用レプリカを作成し、暗号化を有効化します。読み取り専用レプリカが利用可能になったら、それを昇格（Promote）させ、アプリケーションが使用するエンドポイントを更新します。その後、暗号化されていない DB インスタンスを削除します。
• B. DB インスタンスのスナップショットを作成します。そのスナップショットの暗号化済みコピーを作成し、それを復元して新しい DB インスタンスを起動します。新しい DB インスタンスが利用可能になったら、アプリケーションが使用するエンドポイントを更新します。その後、暗号化されていない DB インスタンスを削除します。 ✓
• C. 新しい暗号化済み DB インスタンスを作成します。初期データをロードし、2つの DB インスタンス間で論理レプリケーションを設定します。新しい DB インスタンスが元の DB インスタンスと同期されたら、アプリケーションが使用するエンドポイントを更新します。その後、暗号化されていない DB インスタンスを削除します。
• D. DB インスタンスを Amazon Aurora DB クラスターに変換し、暗号化を有効化します。DB クラスターが利用可能になったら、アプリケーションが使用するエンドポイントをクラスターエンドポイントに更新します。その後、暗号化されていない DB インスタンスを削除します。

正解: B. DB インスタンスのスナップショットを作成します。そのスナップショットの暗号化済みコピーを作成し、それを復元して新しい DB インスタンスを起動します。新しい DB インスタンスが利用可能になったら、アプリケーションが使用するエンドポイントを更新します。その後、暗号化されていない DB インスタンスを削除します。

解説

ブログプラットフォームで使用される Amazon RDS DB インスタンスを、ダウンタイムを最小限に抑えつつ静止時のデータ暗号化に対応させるには、選択肢 B が最適です。つまり、「DB インスタンスのスナップショットを作成し、そのスナップショットの暗号化済みコピーを作成して復元し、新しい DB インスタンスを起動。新インスタンスが利用可能になった時点でアプリケーションのエンドポイントを更新し、暗号化されていない元の DB インスタンスを削除する」方法です。 各選択肢の検討： 選択肢 A：RDS では、既存の読み取り専用レプリカに対して後から暗号化を有効化することはできません。暗号化はレプリカ作成時に指定する必要があります。したがって、この手法は実質的にスナップショット方式と同等の手順を踏むことになり、本要件に対して最も直接的・簡潔な方法とは言えません。 選択肢 B：暗号化されていない DB インスタンスからスナップショットを取得し、そのスナップショットを暗号化して復元することで、新しい暗号化済み DB インスタンスを構築できます。スナップショット取得は DB インスタンス稼働中に実行可能であり、復元完了後の切り替えも短時間で完了するため、アプリケーションへの影響（ダウンタイム）を最小限に抑えられます。また、手順が明確で信頼性が高く、AWS の推奨手法にも合致します。 選択肢 C：論理レプリケーションの設定と同期管理は複雑で、データ損失や不整合のリスクがあり、追加の運用負荷と時間がかかります。スナップショット方式と比較して、ダウンタイム低減という観点でも優れておらず、過剰な工数がかかります。 選択肢 D：Amazon Aurora への移行は、静止時暗号化という単一要件を満たすために必要ない上、移行プロセスが複雑で、ダウンタイムやリスクが増大します。要件に対する過剰設計であり、最もシンプルかつ効率的な解決策ではありません。 結論：選択肢 B は、ダウンタイムを最小限に抑え、手順が明確で信頼性が高く、AWS のベストプラクティスにも沿った、最も適切な解決策です。