セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説要件: 複数アカウント環境で、機密情報の暗号化とアクセス管理を一元化する設計を検討しています。 Secrets Manager の秘密と SSM Parameter Store の SecureString を、単一のカスタマー管理 KMS (CMK) で暗号化できるよう、クロスアカウント運用を想定したポリシーを設計したい。最も適切な設計を選択してください。- セキュリティアカウントにカスタマーマネージド CMK を作成し、キーポリシーを変更して Secrets Manager および Parameter Store からの暗号化/復号を全アカウントの同様のロールに許可する。- Secrets Manager 側でデフォルトの AWS 管理キーを使うように設定し、Parameter Store でも AWS 管理キーを使用して暗号化する。これにより中央ガバナンスが難しくなる。- 各アカウントで独自の CMK を作成し、アカウント間の承認を作成済みの IAM ロールで付与する。- 暗号化は不要なので、Secrets Manager / Parameter Store の秘密を平文で保存する。
Aセキュリティアカウントにカスタマーマネージド CMK を作成し、キーポリシーを変更して Secrets Manager および Parameter Store からの暗号化/復号を全アカウントの同様のロールに許可する。Secrets Manager の秘密と Parameter Store の SecureString の暗号化キーとしてこの CMK の ARN を指定する。これにより、キーのライフサイクルと権限を一元管理できる。
正解 ⭕⭕
【正解の理由】【正解】 中央の CMK を使って跨アカウントで暗号化/復号を管理する設計は、統一的なガバナンスと監査性を提供し、 Secrets Manager / Parameter Store の秘密の暗号化ポリシーを一元化できる。適切なキーポリシーで他アカウントのロールにアクセス権を付与することで、セキュリティ要件と運用効率の両立が可能。
BSecrets Manager 側でデフォルトの AWS 管理キーを使うように設定し、Parameter Store でも AWS 管理キーを使用して暗号化する。これにより中央ガバナンスが難しくなる。
誤答C各アカウントで独自の CMK を作成し、アカウント間の承認を作成済みの IAM ロールで付与する。
誤答D暗号化は不要なので、Secrets Manager / Parameter Store の秘密を平文で保存する。
誤答🎯正解の決め手・公式要点まとめ
正解は、跨アカウントでの機密管理を一元化するための単一 CMK の設計と、適切なキーポリシーによる権限委譲である。Secrets Manager/Parameter Store の暗号化は同じ CMK で統一して管理するのが推奨される。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。