DVAセキュリティ
開発チームは本番環境のRDS MySQLデータベース認証情報をアプリケーションで使用しています。セキュリティ要件として、認証情報を90日ごとに自動ローテーションし、ローテーション中もアプリケーションのダウンタイムをゼロにする必要があります。また、認証情報へのすべてのアクセスはCloudTrailで監査できなければなりません。この要件を満たす最も適切なサービスと設定はどれですか？
AAWS Systems Manager Parameter Store（SecureString）に認証情報を保存し、EventBridgeスケジューラーでLambda関数を呼び出して認証情報を定期的に更新する仕組みを構築する
Parameter StoreのSecureStringはKMS暗号化に対応しますが認証情報の自動ローテーション機能を持ちません。EventBridgeとLambdaで自作する必要があり、新旧認証情報の併存制御も自前実装となりダウンタイムゼロの保証が困難です。
BAWS Secrets ManagerにRDS認証情報を保存し、組み込みのRDS向けローテーション機能を有効化する。アプリケーションは毎回Secrets Managerから認証情報を取得するよう実装する
✓ 正解
AWS Secrets ManagerはRDS等の主要DB向け組み込みローテーション機能を持ち、ローテーション時に新旧の認証情報を一時的に併存させるためダウンタイムゼロを実現できます。すべてのシークレットアクセスはCloudTrailに自動記録され監査要件も満たします。
CAWS KMSで暗号化したJSONファイルをS3バケットに保存し、Lambda関数で定期的に更新するカスタムパイプラインを構築してアプリケーションから参照させる
S3上の暗号化JSONをLambdaで更新する方式は自動ローテーション・新旧認証情報の併存・監査をすべてカスタム実装する必要があり、運用負荷とミスのリスクが高く、マネージドなローテーション保証も得られません。
DElastic Beanstalkの環境変数に認証情報を設定し、ローテーションが必要になるたびに手動で値を更新して再デプロイする
Elastic Beanstalkの環境変数は値の変更ごとに環境更新（デプロイ）が必要で自動ローテーションもできず、ダウンタイムゼロを満たせません。アクセス監査もSecrets Managerほど一元的に行えません。
解説
AWS Secrets ManagerはRDS・Redshift・DocumentDBなど主要データベース向けの組み込みローテーション機能を持ちます。ローテーション時は古い認証情報と新しい認証情報が一時的に両方有効な期間を設けるため、ダウンタイムゼロを実現できます。すべてのシークレットアクセスはCloudTrailに自動記録されます。
選択肢A の AWS Systems Manager Parameter Store（SecureString）は自動ローテーション機能を持たず、手動の更新パイプラインではダウンタイムゼロの保証が困難です。
選択肢C の AWS KMS で暗号化したJSONファイルをS3に保存し、Lambdaで定期更新するパイプラインはカスタム実装が必要で運用負荷が高くなります。
選択肢D の Elastic Beanstalkの環境変数は設定変更のたびにデプロイが必要で、ダウンタイムゼロを実現できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDVAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →