DVAセキュリティ
開発チームはアプリケーションデータの暗号化にKMSカスタマーマネージドキー（CMK）を使用しています。コンプライアンス要件で定期的なキーローテーションが必要になり、CMKの自動キーローテーションを有効にしました。チームは、有効化前に暗号化した大量の既存データが復号できなくなることを懸念しています。自動キーローテーションの動作として正しいものはどれですか。
AローテーションでキーIDとARNが変わるため、古いデータは旧キーを明示的に指定して手動で復号する必要がある
自動ローテーションではキーIDとARNは変わらないため、この記述は誤りです。識別子は不変で、手動でのキー指定や旧キーの参照は不要です。前提自体が成り立ちません。
BKMSが新しいバッキングキーマテリアルを生成し古いマテリアルも保持するため、過去の暗号文はキー指定なしでそのまま復号できる
✓ 正解
自動ローテーションはバッキングキーマテリアルを新規生成しつつ旧マテリアルも保持します。暗号文のメタデータからKMSが適切なマテリアルを選ぶため、過去データもキー指定なしで復号でき、再暗号化は不要です。
Cローテーション後は古いキーマテリアルが破棄されるため、有効化する前にすべてのデータを再暗号化しておく必要がある
KMSは古いキーマテリアルを破棄せず保持し続けるため、この記述は誤りです。既存データの再暗号化は不要で、有効化後も過去の暗号文はそのまま復号できます。
D自動ローテーションはエイリアスを新しいCMKへ付け替える動作であり、アプリ側のキー参照をすべて更新する必要がある
自動ローテーションは新しいCMKを作成してエイリアスを付け替える動作ではなく、既存CMK内でバッキングキーマテリアルを更新します。キーID・ARN・エイリアスは不変で参照更新は不要です。
解説
KMSの自動キーローテーションは、CMKのバッキングキーマテリアル（実際の暗号化に使われる鍵素材）を新しく生成しますが、キーIDとARNは変わりません。古いキーマテリアルはKMSが保持し続け、各暗号文にはどのマテリアルで暗号化されたかのメタデータが含まれます。そのため過去の暗号文を復号する際もKMSが自動的に正しいマテリアルを選択し、アプリは特別な指定なしにそのまま復号できます。
選択肢のキーID・ARNが変わるという記述は誤りで、ローテーションしても識別子は不変です。
選択肢の古いマテリアルが破棄されるという記述は誤りで、KMSは旧マテリアルを保持し続けます。
選択肢のエイリアスを付け替えるという記述は誤りで、自動ローテーションは新しいCMKを作るのではなく既存CMK内でマテリアルを更新します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDVAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →