AWS認定資格 WEB問題集＆徹底解説

セキュリティ-専門知識

正解 C問題
分野5：データ保護 タスクステートメント5.2：保管中のデータのコントロールを設計し、実装する。
要復習（もう一度解きたい問題） 1 2 3 4
前の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAWSサービス解説を、24時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
ある物流企業は、配送伝票の画像データを Amazon S3 に保存しており、AWS KMS のカスタマー管理キーでサーバー側暗号化を行っている。このキーには 14 日間の猶予期間を設定して削除がスケジュールされていたが、運用担当者が誤って本番用のキーに対して削除操作を行ってしまったことが、削除から 10 日後に判明した。このままでは配送伝票データが復号できなくなる。

セキュリティスペシャリストとして推奨すべき対応はどれか。
  • AWS Backup が自動的に保存しているスナップショットから、削除されたカスタマー管理キーを新しいキーとして復元する
  • ルートユーザーとしてサインインすれば、削除がスケジュールされたカスタマー管理キーを特別な権限で即座に復元できる
  • 猶予期間の 14 日はまだ経過しておらず、キーは「保留中の削除」ステータスのままであるため、キー削除のスケジュールをキャンセルして復旧する
  • 契約しているサポートプランに関わらず AWS サポートへ連絡し、削除されたキーのマスターコピーを提供してもらう
解説 頻出度★★★★★
この問題は、AWS KMS のキー削除が7〜30 日の待機期間つきの「削除保留中（Pending deletion）」という状態を経ること、そして待機期間中ならキー削除のスケジュールをキャンセルして復旧できることを知っているかがポイントです。

A. AWS Backup が自動的に保存しているスナップショットから、削除されたカスタマー管理キーを新しいキーとして復元する

AWS Backup が保護するのはボリュームやデータベースなどのデータリソースであり、KMS のカスタマー管理キーそのものをバックアップ・復元する機能はありません。
キーマテリアルは KMS の外へ取り出せない設計（インポートしたキーマテリアルを除く）で、スナップショットから「新しいキーとして復元する」という操作は存在しません。
なお仮に新しいキーを作っても、古いキーで暗号化されたデータは復号できません。

B. ルートユーザーとしてサインインすれば、削除がスケジュールされたカスタマー管理キーを特別な権限で即座に復元できる

ルートユーザーはアカウント内で最も強い権限を持ちますが、削除保留中のキーを「特別な権限で即座に復元する」ような専用の機能はありません。
復旧手段はあくまで CancelKeyDeletion という通常の API であり、適切な権限があれば IAM ユーザーやロールでも実行できます。ルートユーザーであることは条件ではありません。

正解

C. 猶予期間の 14 日はまだ経過しておらず、キーは「保留中の削除」ステータスのままであるため、キー削除のスケジュールをキャンセルして復旧する

AWS KMS はキーを即時削除せず、7〜30 日（既定 30 日）の待機期間を設けて「削除保留中」の状態にします。本問では 14 日の待機期間を設定して 10 日目に気付いたため、まだ待機期間内です。
この間はキーによる暗号化・復号はできないものの、キー自体は削除されていないため、キー削除のスケジュールをキャンセル（CancelKeyDeletion）すれば復旧できます。
キャンセル直後のキーは「無効（Disabled）」状態になるので、あらためて有効化（EnableKey）すれば S3 の配送伝票データを再び復号できます。誤操作に気付くための猶予として用意された仕組みで、この待機期間こそが KMS の削除設計の要点です。

D. 契約しているサポートプランに関わらず AWS サポートへ連絡し、削除されたキーのマスターコピーを提供してもらう

待機期間が満了してキーが完全に削除された場合、AWS サポートを含め誰もキーを復元できません。AWS がカスタマー管理キーのマスターコピーを保持していることはなく、「提供してもらう」という対応は存在しません。
本問はまだ待機期間内なので、そもそもサポートに問い合わせる前に自分でキャンセルすれば済みます。

これだけ覚える（記憶フック）
KMS キーは待機期間中なら取り消せる（CancelKeyDeletion）。期間が過ぎたら誰にも復元できない。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
14 日の待機期間を設定し、削除から 10 日後に判明した まだ待機期間内＝キーは「削除保留中」で実体は残っているという状況把握が出発点
→選択肢（C）が正解
キー削除の取り消し手段 CancelKeyDeletion でスケジュールを取り消し、その後 EnableKey で有効化する
→選択肢（C）が正解、選択肢（B）を消す
KMS キーはバックアップできるか キーマテリアルは KMS 外へ出ない。AWS Backup の保護対象ではない
→選択肢（A）を消す
待機期間が満了したらどうなるか 完全に削除され、AWS サポートでも復元不可。暗号化データは復号できなくなる
→選択肢（D）を消す
権限の観点 復旧に必要なのは kms:CancelKeyDeletion 権限であり、ルートユーザーである必要はない
→選択肢（B）を消す
ひっかけポイント
  • 「削除操作を行ってしまった」という表現からすでに消えたと早合点させるのが本問の罠。KMS の削除は必ず待機期間つきのスケジュールであり、期間内なら取り消せる
  • 待機期間は7〜30 日の範囲で指定でき、既定は 30 日。本問のように 14 日など短く設定されていると「もう間に合わない」と錯覚しやすいので、経過日数と待機期間を必ず突き合わせる
  • 「ルートユーザーなら何でもできる」（選択肢 B）「AWS サポートに頼めば何とかなる」（選択肢 D）はいずれも定番の誤答パターン。KMS にルート専用のキー復旧操作は無く、AWS が削除済みキーのコピーを持つこともない
  • 削除保留中のキーは暗号化・復号に使えない点も要注意。キャンセル後は Disabled になるため、有効化まで行わないと復号は再開できない
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「待機期間が満了してキーが完全に削除された」 復旧手段は無く、暗号化データは永久に復号不可。正解は「復旧できない」旨の選択肢に変わる。
「削除ではなく誤って無効化（Disable）してしまった」 EnableKey ですぐ復旧できる（待機期間の話は出てこない）。
「そもそも誤削除を検知したい」 CloudTrail の ScheduleKeyDeletion イベントを EventBridge で拾って通知する構成が正解軸に。
「削除操作自体をできないようにしたい」 キーポリシーや SCP で kms:ScheduleKeyDeletion を Deny する統制が正解軸に。
「キーの侵害が疑われるので鍵を切り替えたい」 削除ではなくキーローテーション、または新しいキーでの再暗号化が正解軸に。
関連サービスの解説 Amazon Simple Storage Service (Amazon S3)
AWS Key Management Service (AWS KMS)
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 0%
No.10 解説
ある物流企業は、配送伝票の画像データを Amazon S3 に保存しており、AWS KMS のカスタマー管理キーでサーバー側暗号化を行っている。このキーには 14 日間の猶予期間を設定して削除がスケジュールされていたが、運用担当者が誤って本番用のキーに対して削除操作を行ってしまったことが、削除から 10 日後に判明した。このままでは配送伝票データが復号できなくなる。

セキュリティスペシャリストとして推奨すべき対応はどれか。
  • AWS Backup が自動的に保存しているスナップショットから、削除されたカスタマー管理キーを新しいキーとして復元する
  • ルートユーザーとしてサインインすれば、削除がスケジュールされたカスタマー管理キーを特別な権限で即座に復元できる
  • 猶予期間の 14 日はまだ経過しておらず、キーは「保留中の削除」ステータスのままであるため、キー削除のスケジュールをキャンセルして復旧する
  • 契約しているサポートプランに関わらず AWS サポートへ連絡し、削除されたキーのマスターコピーを提供してもらう

前の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報