Q50 — AWS SAA-C03 第16章

第 50/100 問 | ← 第16章

Q1250. ある会社は、Amazon EC2インスタンス上で実行されるアプリケーションがAmazon RDS DBインスタンスにアクセスするために使用する認証情報を安全に保管する必要があります。また、これらの認証情報は3か月ごとにローテーション（更新）しなければなりません。これらの要件を満たすうち、運用オーバーヘッドが最も少ないソリューションはどれですか？

正解: C. データベース認証情報をAWS Secrets Managerのシークレットとして保存します。このシークレットに対して3か月ごとのローテーションスケジュールを設定します。シークレットへのアクセス権限を持つIAMロールを作成し、EC2インスタンスにこのIAMロールをアタッチします。

解説

正解はCです。以下に理由を説明します。 ■ オプションC（正解） ・AWS Secrets Managerは、データベースパスワードなどの認証情報の安全な保管およびローテーションを目的として設計されたサービスです。 ・Amazon RDSを含む対象サービス向けに、組み込みのLambda関数やカスタムロジックを用いた自動ローテーションをサポートしています。 ・EC2インスタンスにアタッチされるIAMロールには、シークレットの取得（get-secret-value）権限のみが必要であり、運用負荷が最小限に抑えられます。 ・手動での暗号化／復号化処理は不要で、Secrets ManagerがAWS KMSを透過的に活用してセキュリティを担保します。 ・ローテーション機能が完全にAWSによってマネージドされるため、運用オーバーヘッドが最も小さくなります。 ■ 他の選択肢が不適切な理由 ・オプションAおよびB（Parameter Store）：Parameter Storeはシークレットの保管は可能ですが、Secrets Managerと異なり、ローテーション機能をネイティブに提供していません。ローテーションを実現するにはLambdaなどによるカスタム自動化が必要となり、複雑さと運用負荷が増加します。また、オプションBではEC2インスタンスにIAMポリシーを直接アタッチしており、セキュリティベストプラクティス（ロールによる一時的資格情報の利用）に反します。 ・オプションD（Parameter Store＋Lambdaローテーション）：ローテーション用のLambda関数を自前で構築・管理する必要があり、運用負荷が高くなります。この機能はSecrets Managerが標準で提供しているため、わざわざ自作する必要はありません。 ■ 結論 AWS Secrets Manager（オプションC）が最適な選択肢です。これは以下の理由からです： ・認証情報を3か月ごとに自動的にローテーションできます。 ・Amazon RDSとの統合がシームレスで、特別な設定がほとんど不要です。 ・必要な設定は、IAMロールの作成とシークレットの構成のみであり、最小限の手間で済みます。 ・Parameter Storeを用いた他の手法と比較して、運用オーバーヘッドが明確に低減されます。