DEAデータのセキュリティとガバナンス
あるデータエンジニアリングチームは、AWS GlueジョブからAmazon RDS for PostgreSQLに接続するETLパイプラインを運用しています。セキュリティ監査の結果、以下の要件が定められました：(1) データベースの認証情報をソースコードや設定ファイルに平文で保存しないこと、(2) パスワードを30日ごとに自動ローテーションすること、(3) 認証情報へのすべてのアクセスをAWS CloudTrailに記録すること。これら3つの要件をすべて最小限の運用負担で満たすソリューションはどれですか？
AデータベースパスワードをAWS KMSで暗号化してAmazon S3に保存し、GlueジョブがIAMロール経由でS3から取得する
S3へのKMS暗号化保存は安全ですが、組み込みの自動ローテーション機能がなく、独自のローテーション機構の開発・保守が必要となり運用負担が増します。
BAWS Systems Manager Parameter StoreのSecureStringパラメータにパスワードを保存し、30日ごとにパスワードを更新するAWS Lambda関数をAmazon EventBridgeでスケジュール実行する
Parameter StoreのSecureStringは安全な保存機能を提供しますが、組み込みの自動ローテーション機能がないため、ローテーション用Lambdaの開発・保守が必要です。最小限の運用負担要件を満たしません。
CAWS Secrets Managerに認証情報を保存してRDS向け自動ローテーションを有効化し、GlueジョブはランタイムにSecrets Manager APIで最新の認証情報を取得する
✓ 正解
AWS Secrets Managerは、安全な暗号化保存・RDS用の組み込み自動ローテーション機能・GetSecretValue APIコールのCloudTrail自動記録という3つの要件をすべて標準機能で提供します。最小の運用負担で実現可能です。
DAmazon RDS IAMデータベース認証を有効にし、GlueジョブのIAMロールにrds-db:connect権限を付与してパスワードなしで接続する
IAMデータベース認証はパスワードレスで優れたセキュリティを提供しますが、「パスワード自動ローテーション」という要件とは目的が異なります。パスワード排除の仕組みであり、ローテーション要件は満たしません。
解説
AWS Secrets Managerは、(1)認証情報の安全な暗号化保存、(2)RDS用の組み込み自動ローテーション機能（ローテーション間隔を自由に設定可能）、(3)GetSecretValue APIコールのCloudTrailへの自動記録という3つの要件すべてを標準機能として提供します。
選択肢AのS3へのKMS暗号化保存では自動ローテーション機能がなく、独自のローテーション機構の開発・保守が必要です。
選択肢BのSSM Parameter Storeには組み込みの自動ローテーション機能がないため、ローテーション用Lambdaの開発・保守が必要となり「最小限の運用負担」を満たしません。
選択肢DのIAMデータベース認証はパスワードレスで優れたセキュリティを提供しますが、「30日ごとのパスワード自動ローテーション」という要件とは目的が異なります（パスワードそのものを排除する仕組みであり、パスワードローテーションを行うわけではありません）。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →