AWS Certified Solutions Architect - Associate 無料問題 3 / 10 ・ 分野1: セキュアなアーキテクチャの設計
S3 のオブジェクトを、SSE-KMS の AWS マネージドキー（aws/s3）で暗号化している。これを別の AWS アカウントのチームに読ませるため、バケットポリシーで相手のロールに読み取りを許可したが、相手のアカウントからの読み取りは失敗する。S3 と KMS のページの説明に合う直し方はどれか。
- 相手のアカウントの IAM ポリシーで aws/s3 のキーの復号を許可し、キーポリシーはそのままにする
- AWS KMS のカスタマーマネージドキーで暗号化し直し、そのキーポリシーで相手のアカウントに復号を許可する
- AWS 所有の KMS キーで暗号化し直し、アカウントをまたぐ復号の許可は AWS に任せる
- aws/s3 のキーポリシーに相手のアカウントを書き足し、相手のロールに復号を許可する
正解と解説を見る
正解: B
正解の理由
S3 の SSE-KMS のページは、AWS マネージドキーで暗号化したオブジェクトはアカウントをまたいで共有できず、SSE-KMS のデータをアカウントをまたいで共有するなら、KMS のカスタマーマネージドキーを使う必要があると書いている。カスタマーマネージドキーのポリシーで、他のアカウントからのアクセスを許可できる。KMS のページも、カスタマーマネージドキーは利用者がキーポリシー・IAM ポリシー・グラントを作って保守でき、使われ方を CloudTrail で監査できるとしている。
違う選択肢
「aws/s3 のキーポリシーに相手のアカウントを書き足し、相手のロールに復号を許可する」… AWS マネージドキーのキーポリシーは見られるが、利用者は変更できない。キーを暗号の操作に使うのは、そのキーを作った AWS のサービスである。
「AWS 所有の KMS キーで暗号化し直し、アカウントをまたぐ復号の許可は AWS に任せる」… AWS 所有のキーは、AWS のサービスが自分のアカウントで持つキーで、利用者はそのポリシーを見ることも変えることもできず、使われ方を監査することもできない。アカウントをまたぐ共有を利用者が決めることはできない。
「相手のアカウントの IAM ポリシーで aws/s3 のキーの復号を許可し、キーポリシーはそのままにする」… S3 のページは、AWS マネージドキーの SSE-KMS で暗号化したオブジェクトはアカウントをまたいで共有できないと書いている。相手の側の IAM ポリシーをどう書いても、このキーで暗号化したデータは相手のアカウントから読めない。
3種類の比較
カスタマーマネージドキーは制御を重視するとき、AWS マネージドキーは自分でキーを管理しなくてよいがキーの利用を見たいとき、AWS 所有のキーは手軽さを重視するときに向く。AWS マネージドキーに月額の料金はかからず、カスタマーマネージドキーには月額の料金と利用の料金がかかる。
AWS Certified Solutions Architect - Associateの演習アプリ（無料10問・全問は解錠で）へ