セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説複数 AWS アカウントで Secrets Manager と Parameter Store を組み合わせて暗号化キーを管理する場合、跨アカウントの運用と監査性を確保しつつ、キーのローテーションを自動化する最適な設計はどれか。
Aマスターアカウントで作成した単一の CMK を全メンバーアカウントで共有し、Secrets Manager/Parameter Store がこれを使用する。CMK の自動ローテーションは有効化する。
誤答B環境・アカウントごとに個別の CMK を作成し、Secrets Manager と Parameter Store がこれらを使用する。跨アカウントアクセスは IAM ロールで許可し、CMK の自動ローテーションを有効化する。
正解 ⭕⭕
【正解の理由】【正解】 環境ごと・アカウントごとにカスタマー管理キー（CMK）を分離することで、監査の粒度と権限の分離が向上します。Secrets Manager と Parameter Store はそれぞれの CMK を使用して暗号化・復号を行い、CMK の自動ローテーションを有効化することでセキュリティ要件を満たします。跨アカウントアクセスは IAM ロールで厳格に制御可能です。
CSecrets Manager はデフォルトの AWS 管理キーを使用し、KMS キーの自動ローテーションは利用しない。監査は CloudTrail のログのみで完結させる。
誤答DParameter Store の SecureString のみを利用し、Secrets Manager は使用しない。KMS による暗号化キーの管理は別の方法で行う。
誤答🎯正解の決め手・公式要点まとめ
正解は、アカウントごと・環境ごとに CMK を分けて運用することで、監査の粒度と権限の分離を実現しつつ自動ローテーションを適用する点。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。