解説

AWS Lake Formationはデータレイクのアクセス制御を一元管理するサービスで、テーブル・列・行レベルのきめ細かい権限設定が可能。複雑なIAM設定なしに列レベルのアクセス制御を実現でき、複数チームへの権限管理も集中管理できる。 選択肢AのPII列を含むテーブルを別S3バケットに分割する方法はバケット単位の粗粒度制御にとどまり、同一テーブル内の特定列のみを制限することはできない。 選択肢CのAmazon MacieはPIIの自動検出サービスであり、アクセス制御機能を持たない。S3オブジェクトタグを使ったバケットポリシーもオブジェクトレベルの制御であり列レベルには対応しない。 選択肢DのAWS KMSで列ごとに異なる暗号化キーを管理する方法は実装が極めて複雑で、AthenaなどのクエリサービスとS3上のデータを連携させる際の統合も困難であり、管理コストが大幅に増加する。