ANSネットワークのセキュリティ、コンプライアンス、ガバナンス複数選択
ある金融機関は、Amazon Route 53 で管理しているパブリックホストゾーン `bank-example.com` に対して、DNSSEC（DNS Security Extensions：DNSレコードにデジタル署名を付加してDNS応答の改ざん検知・送信元認証を実現する拡張仕様）署名を実装する必要があります。
要件：
- DNSキャッシュポイズニングおよびスプーフィング攻撃を防止する
- キー管理をAWS KMSと統合する
- エンドツーエンドの信頼チェーン（Chain of Trust）を確立する
Route 53のパブリックホストゾーンにDNSSEC署名を正しく有効化するために必要な手順はどれですか？（2つ選択）
AAWS KMSでキースペックを `ECC_NIST_P256` に設定したカスタマーマネージドキー（CMK）を作成し、このキーをKSK（Key Signing Key：ZSKに署名するキー）として使用してRoute 53のDNSSEC署名を有効化する。
✓ 正解
AWS KMSのECC_NIST_P256キーでKSKを作成することはRoute 53 DNSSEC署名の必須手順であり、ZSKはRoute 53が自動管理します。
BAWS KMSでキースペックを `RSA_2048` に設定したカスタマーマネージドキー（CMK）を作成し、このキーをZSK（Zone Signing Key：DNSレコードに直接署名するキー）として使用してRoute 53のDNSSEC署名を有効化する。
Route 53 DNSSECではRSA_2048キースペックはサポートされておらず、ZSKのユーザー管理も不要なため誤りです。
CRoute 53でDNSSEC署名を有効化した後、生成されたDS（Delegation Signer：委任署名者レコード）をドメインレジストラ経由で親ゾーン（.comレジストリなど）に登録し、信頼チェーンを確立する。
✓ 正解
DSレコードをドメインレジストラ経由で親ゾーンに登録することで信頼チェーンが確立され、エンドツーエンドのDNSSEC検証が可能になります。
DRoute 53 ResolverでDNSSEC検証を有効化することでホストゾーンへの署名プロセスが開始されるため、権威DNSサーバーが存在するVPCのResolverに対してDNSSECバリデーションを設定する。
Route 53 ResolverのDNSSEC検証はクライアント側機能でホストゾーン署名とは別機能のため、署名プロセスを開始しません。
EDNSSEC署名を有効化した後、AWS CloudTrailでDNSSECバリデーションエラーを監視するEventBridgeルールを作成し、エラーが一定閾値を超えた場合にLambda関数でDNSSEC署名を自動的に無効化する。
CloudTrail/EventBridgeによるDNSSEC自動無効化機能は存在せず、自動無効化はDNS障害を招くため誤りです。
解説
選択肢AはRoute 53のDNSSEC署名にはECC_NIST_P256キースペックのKMSキーでKSKを作成する必要があります。ZSKはRoute 53が自動管理します。
選択肢BはRSA_2048キースペックはRoute 53 DNSSECで非サポートであり、ZSKのユーザー管理も不要なため誤りです。
選択肢CはDSレコードをドメインレジストラ経由で親ゾーンに登録することでエンドツーエンドの信頼チェーンが確立されます。
選択肢DはRoute 53 ResolverのDNSSEC検証はクライアント側機能であり、ホストゾーンへの署名とは独立した別機能のため誤りです。
選択肢EはCloudTrail/EventBridgeによるDNSSEC自動無効化機能は存在せず、自動無効化はDNS障害を招くため誤りです。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →