DEAデータのセキュリティとガバナンス
ある企業は、AWS Glue ETL ジョブから Amazon RDS for MySQL に接続する際、データベースのユーザー名とパスワードを Glue ジョブのスクリプト内にハードコードしています。セキュリティ監査でこれが指摘され、認証情報の安全な保管と自動ローテーションを実現するよう求められました。最も適切な方法はどれですか。
A認証情報を AWS Systems Manager Parameter Store の標準パラメータに保存し、Glue ジョブから取得する
Parameter Store の標準パラメータはシークレット保管に利用できるが、データベースパスワードの自動ローテーション機能を持たない。要件の自動ローテーションを満たせないため不適切。
B認証情報を AWS Secrets Manager に保存しローテーションを有効化、Glue 接続から参照する
✓ 正解
Secrets Manager は認証情報を暗号化保管し、RDS と統合した自動ローテーションをネイティブ提供する。Glue 接続から直接参照でき、安全な保管と自動ローテーションの両要件を満たすため最適。
C認証情報を暗号化した S3 オブジェクトに保存し、Glue ジョブ実行時に KMS で復号して読み込む
暗号化 S3 オブジェクトでの保管は機密性は確保できるが、パスワードの自動ローテーション機構がなく、復号ロジックの実装も必要で運用負荷が高い。要件を満たさない。
D認証情報を Glue ジョブのパラメータとして渡し、CloudTrail でアクセスログを監査する
ジョブパラメータとして認証情報を渡す方式は、値がジョブ実行履歴やログに残存する恐れがあり安全でない。さらに自動ローテーションも実現できないため不適切。
解説
AWS Secrets Manager は、データベース認証情報を暗号化して保管し、RDS と統合した自動ローテーション（Lambda による定期的なパスワード変更）をネイティブにサポートする。
AWS Glue 接続は Secrets Manager のシークレットを直接参照でき、ジョブスクリプトに認証情報を含めずに RDS へ接続できるため、要件である「安全な保管」と「自動ローテーション」の両方を満たす。
選択肢Aの Parameter Store 標準パラメータは、シークレットの保管はできるが認証情報の自動ローテーション機能を持たない。
選択肢Cの暗号化 S3 オブジェクトは、保管はできても自動ローテーションの仕組みがなく運用負荷が高い。
選択肢Dのジョブパラメータとして渡す方法は、パラメータが平文でログや履歴に残るリスクがあり、ローテーションも実現できない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →