セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説貴社はサーバーレス寄りの構成で、API GatewayとLambdaを組み合わせて外部アクセスを受け付け、RDSの資格情報をSecrets Managerに格納している。暗号化はKMSのカスタマー管理CMKで行い、資格情報の自動回転を有効化してコストを抑えつつセキュリティを担保したい。要件は自動回転・最小権限・暗号化の厳格性・運用負荷の低減である。以下の選択肢のうち、要件を最も満たす実装はどれか。
ASecrets Manager を使用してデータベース資格情報を格納し、30日ごとに自動回転を有効化する。資格情報はカスタマー管理 CMKで暗号化し、LambdaロールとSecrets Managerの権限を最小権限で設定する。Secrets Managerのsecretに対して他のアカウントからのアクセスを許可する場合は、適切なリソースベースポリシーを併用する。
正解 ⭕⭕
【正解の理由】【正解】 要件の自動回転・最小権限・暗号化・運用負荷低減を満たす最も適切な設計。カスタマー管理CMKを使うことでキーの管理と監査を厳格化し、Secrets Managerのリソースポリシーでクロスアカウントアクセスを厳密に制御できる。
BSSM Parameter Store の SecureString を暗号化に使用し、30日ごとに自動で回転する仕組みを自作の Lambda で実装する。暗号化は同じCMKを使用できるが、自動回転機能はSecrets Managerの機能ほど成熟していない。
誤答CSecrets Manager を使用するが、KMSキーにはAWSが提供するAWS managed CMKを使用する。自動回転は有効だが、キーの制御は限定的で監査対応が難しくなる可能性がある。
誤答D資格情報を平文のまま環境変数に格納しており、暗号化や自動回転を行わない。
誤答🎯正解の決め手・公式要点まとめ
正解はSecrets Managerの自動回転機能とカスタマー管理CMKを組み合わせ、最小権限でのアクセス制御と必要時のクロスアカウントアクセスをリソースポリシーで実現する点。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。