AWS認定資格 WEB問題集＆徹底解説

生成AIデベロッパー-プロフェッショナル

正解 C問題
分野3：AI の安全性、セキュリティ、ガバナンス タスクステートメント3.2：データセキュリティとプライバシー制御の実装
要復習（もう一度解きたい問題） 1 2 3 4
次の問題前の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAWSサービス解説を、24時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
ある証券会社が、Amazon Bedrockを用いて顧客対応担当者向けの社内問い合わせアシスタントを構築している。アシスタントが参照するナレッジベースの原本文書やモデル呼び出しログはAmazon S3に保存されるが、金融規制対応のため、これらの保存データを暗号化する鍵は自社のセキュリティチームが完全に管理できなければならない。具体的には、鍵のローテーション周期を独自に設定でき、誰がいつどの鍵を使って復号したかを追跡できる監査証跡を残せることが必須要件になっている。

この要件を満たすために、保存データの暗号化鍵の管理に採用すべきAWSサービスはどれか。
  • AWS Secrets Manager にセキュリティチームが生成した暗号化鍵をシークレットとして保管し、ローテーションのスケジュールを設定したうえで、アプリケーションがその鍵を取得してS3のオブジェクトを暗号化する
  • Amazon Macie でS3上の機微データを継続的に検出・分類し、その検出結果に基づいてセキュリティチームが対象オブジェクトの暗号化設定と鍵の割り当てを管理する
  • AWS Key Management Service (AWS KMS) のカスタマー管理キーでS3の保存データを暗号化 (SSE-KMS) し、ローテーション周期とキーポリシーをセキュリティチームが設定して、鍵の使用をAWS CloudTrailの証跡で追跡する
  • Amazon S3のデフォルト暗号化 (SSE-S3) を有効にし、AWSが管理する鍵ですべてのオブジェクトを自動的に暗号化して、S3のサーバーアクセスログで利用状況を追跡する
解説 頻出度★★★★★
この問題は、「保存データの暗号化鍵を自社が完全に管理 × ローテーション周期を独自に設定 × 誰がいつ復号したかの監査証跡」という 3 要件で、AWS KMS のカスタマー管理キー (CMK) を選べるかがポイント

A. AWS Secrets Manager にセキュリティチームが生成した暗号化鍵をシークレットとして保管し、ローテーションのスケジュールを設定したうえで、アプリケーションがその鍵を取得してS3のオブジェクトを暗号化する

AWS Secrets Manager は、データベースの認証情報や API キーといったアプリケーションシークレットの保管とローテーションのためのサービスです。
暗号化鍵の材料を文字列として置くこと自体は可能ですが、鍵を取り出してアプリケーション側で暗号化・復号する運用になるため、鍵が平文でアプリケーションに渡り、暗号化処理の実装責任も自社に残ります。
「誰がいつどの鍵で復号したか」を鍵の側で一元的に記録する仕組みも無く、保存データの暗号化鍵の管理サービスとしては不適切です。

B. Amazon Macie でS3上の機微データを継続的に検出・分類し、その検出結果に基づいてセキュリティチームが対象オブジェクトの暗号化設定と鍵の割り当てを管理する

Amazon Macie は S3 上のデータを機械学習で走査し、PII や機密情報の在りかを検出・分類するサービスです。
「どこに機密データがあるか」は分かっても、暗号化鍵の生成・ローテーション・アクセス制御・使用監査といった鍵管理機能は一切持ちません。
検出結果を鍵の割り当てに使うという構成にしても、肝心の鍵を管理する主体が不在のままで、要件を満たしません。

正解

C. AWS Key Management Service (AWS KMS) のカスタマー管理キーでS3の保存データを暗号化 (SSE-KMS) し、ローテーション周期とキーポリシーをセキュリティチームが設定して、鍵の使用をAWS CloudTrailの証跡で追跡する

AWS KMS のカスタマー管理キー (CMK) は、キーポリシーで利用者を限定でき、自動ローテーションの周期を自社で設定（オンデマンドローテーションも可能）できるため、「鍵はセキュリティチームが完全に管理する」という要件に合致します。
S3 のバケットに SSE-KMS を設定すればナレッジベースの原本文書もモデル呼び出しログも同じ鍵で保護でき、Encrypt / Decrypt / GenerateDataKey といった鍵の使用はすべて AWS CloudTrail に記録されるので、「誰がいつどの鍵で復号したか」の監査証跡が残ります。
金融規制対応で鍵の統制と証跡を求められた場合の定石であり、唯一要件を満たす選択肢です。

D. Amazon S3のデフォルト暗号化 (SSE-S3) を有効にし、AWSが管理する鍵ですべてのオブジェクトを自動的に暗号化して、S3のサーバーアクセスログで利用状況を追跡する

SSE-S3 は AWS が所有・管理する鍵でオブジェクトを自動暗号化する方式で、設定は容易ですが鍵の管理主体は AWS 側です。
利用者はローテーション周期を指定できず、キーポリシーで鍵の利用者を絞ることもできません。
S3 のサーバーアクセスログに残るのはオブジェクトへのアクセス記録であって、鍵の使用記録ではありません。「誰がどの鍵を使って復号したか」を追跡できないため、監査証跡の要件を満たせません。

これだけ覚える（記憶フック）
鍵を自社で握るなら KMS のカスタマー管理キー。鍵の使用履歴は CloudTrail に残る。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
暗号化鍵を自社のセキュリティチームが完全に管理する キーポリシーで鍵の利用者を自社が制御できるのは KMS のカスタマー管理キーだけ。AWS 管理鍵では統制権が渡らない
→選択肢（D）を消す
鍵のローテーション周期を独自に設定する KMS の CMK は自動ローテーションの周期指定とオンデマンドローテーションに対応。SSE-S3 の鍵は利用者が周期を指定できない
→選択肢（C）が正解
誰がいつどの鍵で復号したかの監査証跡 KMS の API 呼び出しは CloudTrail に記録される。S3 のアクセスログはオブジェクト単位の記録で鍵の使用履歴ではない
→選択肢（D）を消す
対象は S3 に置くナレッジベース原本文書とモデル呼び出しログ（保存データ） 求められているのは保存時暗号化の鍵管理。アプリケーションシークレットの保管サービスは役割が違う
→選択肢（A）を消す
鍵の発行・ローテーション・監査までを 1 つのサービスで担う 機微データの検出・分類を担うサービスは、鍵管理の要件に何も答えていない
→選択肢（B）を消す
ひっかけポイント
  • Secrets Manager は「ローテーション」という語が要件と重なるため紛らわしいが、回すのはシークレットであって保存時暗号化の鍵ではない。鍵を取り出して自前で暗号化する構成になり、統制も証跡も弱くなる
  • Macie は「S3 × セキュリティ × 機微情報」と文脈が近いだけで、鍵管理機能を一切持たない。検出・分類のサービスであることを押さえておけば即座に外せる
  • SSE-S3 も「暗号化されている」点は同じなので安全に見えるが、鍵の所有者が AWS である以上、ローテーション周期の指定もキーポリシーによる制限もできない
  • 「S3 のサーバーアクセスログがあるから追跡できる」は誤り。鍵の使用履歴 (Decrypt / GenerateDataKey) は KMS 側の CloudTrail イベントとしてしか残らない
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「鍵素材を自社のオンプレミス HSM で生成し持ち込みたい」 KMS のインポートキーマテリアル (BYOK) や AWS CloudHSM キーストアが正解軸に。
「鍵を専有の FIPS 140-2 レベル 3 HSM で自社のみが保持したい」 AWS CloudHSM（KMS カスタムキーストア）が正解に。
「アシスタントが接続する外部 API のキーを安全に保管・自動更新したい」 AWS Secrets Manager が正解に。
「ナレッジベースの原本にPII が含まれていないか棚卸ししたい」 Amazon Macie の検出ジョブが正解に。
「運用は極力減らしたい／規制要件は特に無い」 SSE-S3（デフォルト暗号化）で十分という判断もあり得る。
関連サービスの解説 Amazon Bedrock
AWS Key Management Service (AWS KMS)
AWS Secrets Manager
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 50%
No.3 解説
ある証券会社が、Amazon Bedrockを用いて顧客対応担当者向けの社内問い合わせアシスタントを構築している。アシスタントが参照するナレッジベースの原本文書やモデル呼び出しログはAmazon S3に保存されるが、金融規制対応のため、これらの保存データを暗号化する鍵は自社のセキュリティチームが完全に管理できなければならない。具体的には、鍵のローテーション周期を独自に設定でき、誰がいつどの鍵を使って復号したかを追跡できる監査証跡を残せることが必須要件になっている。

この要件を満たすために、保存データの暗号化鍵の管理に採用すべきAWSサービスはどれか。
  • AWS Secrets Manager にセキュリティチームが生成した暗号化鍵をシークレットとして保管し、ローテーションのスケジュールを設定したうえで、アプリケーションがその鍵を取得してS3のオブジェクトを暗号化する
  • Amazon Macie でS3上の機微データを継続的に検出・分類し、その検出結果に基づいてセキュリティチームが対象オブジェクトの暗号化設定と鍵の割り当てを管理する
  • AWS Key Management Service (AWS KMS) のカスタマー管理キーでS3の保存データを暗号化 (SSE-KMS) し、ローテーション周期とキーポリシーをセキュリティチームが設定して、鍵の使用をAWS CloudTrailの証跡で追跡する
  • Amazon S3のデフォルト暗号化 (SSE-S3) を有効にし、AWSが管理する鍵ですべてのオブジェクトを自動的に暗号化して、S3のサーバーアクセスログで利用状況を追跡する

次の問題前の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報