AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. コピー元リージョンで使用しているカスタマーマネージドキーのキー ID を、コピー先リージョンの API 呼び出しでそのまま指定する

AWS KMS のキーは作成したリージョンに固有のリソースであり、そのキー ID や ARN を別リージョンの API 呼び出しで使うことはできない。
RDS のドキュメントも「リージョン間で暗号化されたスナップショットをコピーする場合は、送信先のリージョンで有効な KMS キーを指定する必要がある」と明記しており、東京リージョンのキーを大阪リージョンの CopyDBSnapshot に渡してもエラーになる。

B. カスタマーマネージドキーで暗号化されたスナップショットはリージョンをまたいで直接コピーできないため、いったん暗号化を解除したスナップショットを作成してからコピーする

前提そのものが誤り。暗号化された DB スナップショットのクロスリージョンコピーは正式にサポートされており、コピー先のキーを指定すれば実行できる。
また RDS では、暗号化済みのスナップショットや DB インスタンスから暗号化を外して平文に戻すことはできない。
仮に平文化できたとしても、「暗号化を維持する」という要件に真っ向から反する手順である。

正解

C. コピー先リージョンで作成したカスタマーマネージドキーを KMS キー ID に指定してスナップショットをコピーする

コピー先である大阪リージョンでカスタマーマネージドキーを用意し、そのキー ID を指定して CopyDBSnapshot を実行する。これがクロスリージョンコピーの正しい手順。
コピー先には指定したキーで暗号化された新しいスナップショットが作成されるため、暗号化が途切れることはなく、キーポリシーやローテーションの管理も自社に残る。
なお、コピー先リージョンで有効であればマルチリージョンキーのレプリカを指定してもよく、その場合も「送信先で有効なキーを指定する」という原則は変わらない。

D. コピー先リージョンの AWS マネージドキー（aws/rds）を指定してスナップショットをコピーする

コピー先リージョンのキーを指定するという点だけは正しく、暗号化自体は維持される。
しかし AWS マネージドキー（aws/rds）は AWS が管理するキーで、キーポリシーの編集やローテーション制御を利用者側で行えず、他アカウントへのスナップショット共有にも使えない。
「自社で管理するカスタマーマネージドキーによる暗号化を継続する」というコンプライアンス要件を満たせないため不適。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
暗号化スナップショットを東京リージョンから大阪リージョンへコピーする	KMS キーはリージョン固有。コピー元のキー ID は送信先リージョンでは使えない →選択肢（A）を消す
暗号化を維持したい	暗号化を解除する手順は要件違反。そもそも RDS では暗号化済みスナップショットを平文化できない →選択肢（B）を消す
コンプライアンス要件で自社管理のカスタマーマネージドキーを継続する	AWS マネージドキーはキーポリシーもローテーションも利用者が制御できない →選択肢（D）を消す
データエンジニアが実際に行うべき操作	コピー先リージョンでキーを用意し、コピー実行時の KMS キー ID として指定する →選択肢（C）が正解

ひっかけポイント

• 「暗号化を維持する」を「同じキーを使い続ける」と読み替えると選択肢 A を選んでしまう。維持すべきは暗号化されている状態であって、キーそのものではない
• 選択肢 B の「暗号化されているとリージョン間で直接コピーできない」は作られた前提。暗号化スナップショットのクロスリージョンコピーは正式にサポートされている
• 選択肢 D はリージョンの条件だけは満たすため紛らわしい。キーの管理主体（AWS マネージドキーかカスタマーマネージドキーか）が分かれ目で、他アカウント共有の可否にも直結する
• マルチリージョンキーを使えばキーマテリアルを共有できるが、その場合もコピー先リージョンのレプリカキーを指定する操作は必要。「指定しなくてよくなる」わけではない

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「同一リージョン内で暗号化スナップショットをコピーしたい」	KMS キーの指定を省略すれば元と同じキーで暗号化されたコピーが作られる。
「スナップショットを別の AWS アカウントに共有したい」	AWS マネージドキーで暗号化したものは共有できない。カスタマーマネージドキー＋キーポリシーでの許可が必須に。
「未暗号化の DB インスタンスを暗号化したい」	スナップショットを取り、コピー時に暗号化を有効化してからリストアする手順が正解軸に。
「クロスリージョンの DR コピーをスケジュールで自動化したい」	AWS Backup のバックアッププランとクロスリージョンコピーが正解軸に。

関連サービスの解説

Amazon RDS
AWS Key Management Service (AWS KMS)

リファレンス

この問題を解くために必要な知識を扱う公式ドキュメントです。

知識項目	公式ドキュメント
暗号化された DB スナップショットのクロスリージョンコピーと KMS キーの指定要件	DB スナップショットのコピー