DVAセキュリティ
開発者はAWS KMSを使用して、機密データを暗号化するアプリケーションを構築しています。要件として、暗号化されたデータが「特定のプロジェクト（例: Project=Alpha）」に関連付けられていることを暗号学的に保証し、復号時にそのプロジェクトコンテキストが一致しない場合は復号を拒否する必要があります。この要件を満たすために使用すべきKMSの機能はどれですか。
AKMSキーポリシー（Key Policy）の Condition 要素
キーポリシーはKMSキー自体へのアクセス権限（誰がEncrypt/Decryptを呼べるか）を制御するものであり、暗号文に対するコンテキストのバインドを行うものではありません。
Bエンベロープ暗号化（Envelope Encryption）
エンベロープ暗号化はデータキーを使って大きなデータを暗号化する「手法」であり、特定のプロジェクト情報と暗号文をバインドする機能そのものではありません。
C暗号化コンテキスト（Encryption Context）
✓ 正解
暗号化コンテキストを使用することで、暗号化時と復号時で同一のキー/バリューペアを要求し、データの正当性と改ざん防止を保証できます。
Dエイリアス（Alias）のタグ付け
エイリアスやタグはリソース管理用のメタデータであり、暗号化処理のロジックや復号の成否には影響を与えません。
解説
AWS KMSの「暗号化コンテキスト（Encryption Context）」は、追加認証データ（AAD）として機能するキーと値のペアです。Encrypt操作時に暗号化コンテキストを指定した場合、そのデータは暗号文に暗号学的にバインドされます。そのため、Decrypt操作時にも「全く同じ」暗号化コンテキストを提供しなければ復号は失敗します。これにより、データが正しいコンテキスト（例: 特定のプロジェクト）で使用されていることを保証でき、CloudTrailログにも記録されるため監査にも有用です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDVAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →