DEAデータのセキュリティとガバナンス
あるデータ分析チームは、Amazon Athena を使って S3 データレイクをクエリしています。セキュリティ部門は、すべてのクエリ結果が S3 に保存される際に必ず暗号化されること、および各部門のクエリ結果出力先と暗号化設定を一元的に強制することを求めています。最も運用負荷の低い方法はどれですか。
A各ユーザーに対し、クエリ実行時に SSE-KMS 暗号化を手動で指定するよう運用ルールを定める
手動で SSE-KMS を指定させる運用ルールは強制力がなく、ユーザーの設定漏れによって未暗号化のクエリ結果が保存されるリスクがある。一元的な強制という要件を満たさない。
BAthena ワークグループを部門ごとに作成し、結果出力先と SSE-KMS 暗号化を設定で強制する
✓ 正解
Athena ワークグループは結果出力先と暗号化を構成でき、クライアント設定の上書きを有効にすると管理者の設定を全クエリに強制できる。部門単位の一元管理を低運用負荷で実現でき最適。
Cクエリ結果保存先 S3 バケットにデフォルト暗号化を設定し、バケットポリシーで未暗号化を拒否する
バケットのデフォルト暗号化とポリシーで未暗号化を拒否すれば暗号化自体は強制できるが、部門ごとの出力先や暗号化方式を一元的に管理・強制する要件には不十分。
DLake Formation のデータフィルターでクエリ結果を暗号化し、出力先を制御する
Lake Formation のデータフィルターは行・列レベルのアクセス制御を行う機能であり、クエリ結果の暗号化や保存先の制御とは無関係。要件を満たさない。
解説
Athena のワークグループは、クエリ結果の出力先 S3 ロケションと暗号化設定（SSE-S3・SSE-KMS・CSE-KMS）をワークグループ単位で構成でき、「クライアント設定を上書きする（Override client-side settings）」を有効にすると、ユーザー個別の設定に関わらず管理者の定めた設定を強制できる。
これにより部門ごとの出力先・暗号化を一元管理でき、運用負荷が最小となる。
選択肢Aの手動指定の運用ルールは、ユーザーの指定漏れを防げず強制力がない。
選択肢Cのバケットデフォルト暗号化とポリシーは、暗号化の強制はできるが出力先や暗号化設定の一元管理という要件を完全には満たさない。
選択肢Dの Lake Formation データフィルターは、行/列レベルのアクセス制御の機能であり、クエリ結果の暗号化や出力先の制御を行うものではない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →