無限ノック › DOP 練習問題一覧 › 問題DOP セキュリティとコンプライアンス
ある企業はAWS上で動作するReactとAWS Amplifyを活用したアプリケーションのバックエンドとしてRDS for PostgreSQLを使用しています。セキュリティ要件により、データベースの認証情報をハードコードせず、30日ごとに自動的にパスワードをローテーションすることが義務付けられました。この運用を最小限のカスタムコードと運用オーバーヘッドで実現する最適なサービス連携はどれですか。
A Systems Manager Parameter StoreのSecureStringに認証情報を保存し、30日ごとにEventBridgeとLambdaでパスワードを更新する
Parameter Storeはシークレットの保存をサポートしていますが、組み込みの自動ローテーション機能は提供していません。EventBridgeとLambdaを組み合わせて自作のローテーションロジックを実装および保守する必要があり、運用オーバーヘッドを最小化する要件に反します。
B AWS Secrets Managerにデータベース認証情報を保存し、RDSに対する組み込みの自動ローテーション機能を有効にして30日周期に設定する
✓ 正解
Secrets Managerは、RDSなどのサポート対象データベースに対して、AWSが管理するLambda関数テンプレートを利用した自動ローテーション機能をネイティブに提供しています。カスタムコードの記述なしで30日ごとの自動更新を構成できるため、運用要件を最も満たします。
C AWS KMSを使用して認証情報を暗号化してS3バケットに保存し、S3のライフサイクルポリシーを使用して定期的にキーをローテーションする
S3バケットに暗号化して保存する方法は、シークレット管理の標準的なアプローチではありません。また、S3のライフサイクルポリシーはオブジェクトのストレージクラス移行や削除を管理するものであり、データベースパスワードの動的ローテーション機能は持っていません。
D IAMデータベース認証を有効化し、アプリケーションに30日間有効な一時的なSTSトークンを発行するカスタムIDプロバイダーを構築する
IAMデータベース認証は一時的で安全なアクセスを提供する優れた手段ですが、STSトークンの最大有効期限は12時間（通常はさらに短い）であり、30日間有効なトークンを発行することはできません。また、カスタムIDプロバイダーの構築は運用オーバーヘッドを増大させます。
解説 AWS Secrets Managerは、データベース認証情報やAPIキーなどのシークレットを安全に保存・管理するサービスです。Amazon RDS・Aurora・DocumentDBに対するパスワード自動ローテーション機能がネイティブに組み込まれており、AWSが提供するLambdaローテーションテンプレートを使用して最小限のカスタムコードで構成できます。これにより運用オーバーヘッドを最小化しながら厳格なセキュリティ要件を満たせます。
Systems Manager Parameter StoreのSecureStringを使用する：認証情報を暗号化して保存できますが、パスワード自動ローテーション機能がありません。30日ごとの更新にはEventBridgeとLambdaによるカスタム処理の実装・保守が必要で、運用オーバーヘッドが大きくなります。
AWS Secrets Managerを使用する：RDS向けの組み込みローテーション機能により、最小限のコードで30日周期の自動パスワードローテーションを実現できます。カスタムコードと運用オーバーヘッドの最小化という要件を最もよく満たします。
AWS KMSとS3を使用する：KMSは暗号化キー管理、S3はオブジェクトストレージのサービスです。認証情報をS3に保存してもパスワード自動ローテーション機能はなく、変更時のデータベース側との同期も手動で行う必要があります。
IAMデータベース認証とカスタムIDプロバイダーを構築する：IAMデータベース認証は有効なセキュリティ手法ですが、カスタムIDプロバイダーの構築は複雑で大量のコードが必要です。「最小限のカスタムコード」という要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →