Q62 — AWS SAA-C03 第17章

第 62/89 問 | ← 第17章

Q1362. あるホームセキュリティ企業がグローバルに事業を拡大しています。この企業は顧客データを暗号化する必要がありますが、自社で暗号鍵を管理したくありません。また、鍵は複数のAWSリージョンで利用可能である必要があり、鍵へのアクセスを制御できる必要があります。これらの要件を満たすとともに、運用オーバーヘッドが最も少ないソリューションはどれですか？

• A. AWS KMS を使用してマルチリージョンキーを作成します。各キーを識別するためにタグを適用し、属性ベースのアクセス制御（ABAC）の条件キーを使用してキーへのアクセスを制御します。 ✓
• B. AWS KMS を使用して、キーマテリアルをインポートして複数の単一リージョンキーを作成します。各キーを識別するためにタグを適用し、属性ベースのアクセス制御（ABAC）の条件キーを使用してキーへのアクセスを制御します。
• C. AWS CloudHSM を使用して、企業のプライマリリージョンに CloudHSM クラスターを作成します。CloudHSM Management Utility（CMU）を用いて、この CloudHSM クラスターを追加のリージョンに同期させます。
• D. AWS CloudHSM を使用してユーザーを作成し、CloudHSM Management Utility（CMU）でキーをユーザーと共有します。shareKey コマンドを使用して、各リージョンの追加ユーザーに対してキーを共有または非共有します。

正解: A. AWS KMS を使用してマルチリージョンキーを作成します。各キーを識別するためにタグを適用し、属性ベースのアクセス制御（ABAC）の条件キーを使用してキーへのアクセスを制御します。

解説

正解は A です。AWS KMS を使用してマルチリージョンキーを作成し、各キーを識別するためにタグを適用し、属性ベースのアクセス制御（ABAC）の条件キーを使用してキーへのアクセスを制御します。 解説： このホームセキュリティ企業には以下の要件があります。 ・顧客データの暗号化（安全な鍵管理） ・鍵のライフサイクル管理を自社で行いたくない（AWSによる自動管理） ・複数のAWSリージョンで鍵を利用可能（グローバルな可用性） ・細かい粒度でのアクセス制御（許可されたユーザー／サービスのみが鍵を利用可能） なぜ選択肢 A が最適か： ・AWS KMS マルチリージョンキー 　→ リージョン間での鍵の自動レプリケーションを提供し、世界中で低遅延なアクセスを保証します。 　→ AWS が鍵のローテーションやバックアップを完全に管理するため、運用オーバーヘッドが発生しません。 　→ キーのポリシーはすべてのリージョンで一元的に適用されるため、管理が簡素化されます。 ・タグによるキー識別 　→ 環境、リージョン、目的などに基づき、キーを整理・追跡できます。 ・属性ベースのアクセス制御（ABAC） 　→ kms:ViaAWSService や aws:PrincipalTag などの条件キーを活用し、動的にアクセスを制御できます。 　→ IAM ポリシー単体よりも柔軟性が高く、部門やリージョンなどのユーザー属性に基づいたアクセス許可が可能です。 他の選択肢が不適切な理由： B：キーマテリアルをインポートして単一リージョンキーを複数作成する場合 　→ リージョンごとの手動レプリケーションが必要であり、運用オーバーヘッドが非常に高くなります（各リージョンで個別に鍵を管理）。 　→ 自動同期機能がないため、鍵のローテーション時に不整合が発生するリスクがあります。 C：AWS CloudHSM と CMU 同期を用いる場合 　→ HSM クラスターのパッチ適用、スケーリング、バックアップなど、自社管理が必要であり、運用負荷が極めて高くなります。 　→ CMU による同期は複雑で、管理タスクを避けたい企業には不向きです。 D：CloudHSM ユーザーと shareKey コマンドを用いる場合 　→ ユーザー／リージョンごとに明示的なキー共有が必要であり、ミスが発生しやすく、効率的ではありません。 　→ CloudHSM はデフォルトでマルチリージョン対応しておらず、クロスリージョンアクセスには追加設定が必要です。 比較表： | 選択肢 | マルチリージョン対応 | AWS管理鍵 | アクセス制御の柔軟性 | 運用オーバーヘッド | 主な適用ケース | |--------|---------------------|------------|----------------------|-------------------|----------------| | A | （自動） | （AWSが管理） | ABAC | （最小） | グローバル展開向け、低メンテナンスな暗号化 | | B | （手動） | （自社管理） | IAMのみ | （高） | キーマテリアルのインポートが必要なレガシーシステム | | C | （同期が必要） | （自社管理） | 基本IAM | （非常に高） | FIPS 140-2 Level 3 などのHSMコンプライアンス要件がある場合 | | D | （手動共有） | （自社管理） | 基本IAM | （極めて高） | ユーザー単位での極めて細かいキー共有が必要な特殊なユースケース | 結論： 選択肢 A は、以下の点から最も安全でスケーラブルかつ運用負荷の低いソリューションです。 ・AWS KMS マルチリージョンキーにより、レプリケーションが自動で実行されます。 ・ABAC により、ポリシーの手動更新なしで細かいアクセス制御が可能です。 ・自社管理インフラが不要であり、運用の複雑さが大幅に削減されます。 選択肢 B、C、D は、不必要な管理タスクを導入したり、マルチリージョン対応が不十分であるため避けるべきです。 最終的な正解： A