DEAデータのセキュリティとガバナンス
ある金融サービス企業は、顧客の取引データをリアルタイムで処理する Amazon Kinesis Data Streams パイプラインを構築しています。コンプライアンス要件として、ストリーミングデータは保存時にカスタマーマネージドキー（CMK）で暗号化する必要があります。また、セキュリティインシデント発生時には暗号化キーを即時に無効化してデータへのアクセスを遮断できることも求められています。最小の運用負荷でこれらの要件を満たす構成はどれですか？
AProducer アプリケーション側で AWS KMS Encrypt API を呼び出してレコードを個別に暗号化し、暗号化済みペイロードを Kinesis ストリームに送信する構成に変更する
Producer側でのKMS Encrypt API 呼び出しはアプリケーションコードの変更と追加のKMS APIコストを伴います。Kinesis ネイティブSSEで実現できる要件に対して実装・運用コストが不必要に高くなります。
BKinesis Data Streams は暗号化せずに使用し、Amazon Data Firehose で Amazon S3 に配信する際に SSE-KMS（CMK）暗号化を適用して保存時の暗号化要件を充足する
Amazon Data Firehose経由でS3配信時にSSE-KMSを適用しても、Kinesis Data Streamsのシャード上に存在するデータはその時点で暗号化されません。ストリーム自体の保存時暗号化要件を満たすにはKinesis SSEが必要です。
CKinesis Data Streams のサーバーサイド暗号化でカスタマーマネージドキー（CMK）を指定する。インシデント発生時は KMS コンソールでキーを無効化し、ストリームデータへのアクセスを即時遮断する
✓ 正解
Kinesis Data Streams のネイティブSSEはCMKを指定するだけで有効化でき、アプリケーション変更が不要です。CMKをKMSコンソールで無効化するとキーを使用するすべてのKinesis操作が即時ブロックされ、インシデント対応要件も満たします。
DKinesis Data Streams のシャードデータを AWS Lambda で読み取り、CMK で再暗号化してから暗号化済みデータを別の Amazon S3 バケットに書き込む
LambdaでS3への再暗号化書き込みは追加のコンピューティングリソースとLambda実装・管理コストが発生します。Kinesis のネイティブSSE機能で要件を満たせるため、このアーキテクチャは過剰に複雑です。
解説
選択肢Cの Kinesis Data Streams ネイティブ SSE で CMK を指定すると、サービス側で透過的に暗号化されるためアプリケーションコードの変更が不要です。KMS コンソールでキーを無効化するだけで Kinesis データへのアクセスを即時遮断でき、最小の運用負荷で要件を満たします。
選択肢Aの Producer 側での KMS Encrypt API 呼び出しは、アプリケーションコードの変更と KMS API 呼び出しコストの増加をもたらし、運用負荷が増します。
選択肢Bの Firehose 経由での S3 暗号化では、Kinesis Data Streams のシャード上にあるデータが暗号化されない期間が生じ、ストリーム段階での保存時暗号化要件を満たせません。
選択肢Dの Lambda による再暗号化はアーキテクチャが複雑になり運用負荷が大幅に増加します。Kinesis ネイティブ SSE で達成できる要件を不必要に複雑化しています。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →