SAAセキュアなアーキテクチャの設計
あるグループ企業では、中央のセキュリティアカウントAにAmazon S3データを暗号化するKMSカスタマーマネージドキーを保有しています。処理用アカウントBのLambda関数が、このキーで暗号化されたオブジェクトを復号する必要があります。セキュリティ要件として、アカウントAは最小権限を維持しつつ、特定のLambdaロールに対する復号権限を必要なときだけ付与し、不要になった時点で他のプリンシパルへ影響を与えずに即時取り消せる必要があります。最も適切な方法はどれですか。
AアカウントAがKMSグラントを作成してアカウントBのLambdaロールにDecryptを付与し、不要時はRevokeGrantで対象だけを即時取り消す
✓ 正解
KMSグラントは特定プリンシパルへDecrypt等を一時委譲でき、グラント単位で付与・取り消しが可能。RevokeGrantで対象だけを即時無効化でき他へ影響しないため、最小権限と即時取り消しの要件を同時に満たす。
BアカウントAのキーポリシーでアカウントBへの全KMS操作を許可し、取り消しが必要なときにキーポリシー全体を書き換える
キーポリシーでの許可も機能はするが、取り消しのたびにポリシー全体を編集する必要があり粒度が粗い。特定ロールだけを即時かつ他に影響なく取り消す要件には、グラントの方が適している。
CアカウントAのKMSキーをマルチリージョンキーとしてアカウントBに複製し、アカウントB内で独立して復号できるようにする
マルチリージョンキーは同一鍵素材を別リージョンのレプリカへ展開する機能であり、クロスアカウントの一時的な復号権限委譲や即時取り消しを実現する仕組みではない。要件と無関係である。
DアカウントAのKMSキーマテリアルをエクスポートしてアカウントBにインポートし、アカウントBが独自に管理して復号する
KMSのカスタマーマネージドキーの鍵素材はエクスポートできず、この操作自体が成立しない。外部キーインポートは別概念で、中央管理・即時取り消しの要件にも反する。
解説
KMSグラントは、特定のグランティープリンシパルに対し限定した操作（例: Decrypt）を一時的に委譲できる仕組みで、グラント単位で付与・取り消しが可能です。
RevokeGrant/RetireGrantで対象のグラントだけを即時無効化でき、他のプリンシパルやキーポリシーに影響を与えないため、最小権限と即時取り消しの両要件を満たします。
選択肢Bのキーポリシー方式は機能はするが、取り消しのたびにポリシー全体を編集する必要があり粒度が粗く、誤って他プリンシパルへ影響しやすい。
選択肢Cのマルチリージョンキーはレプリカでも同一の鍵素材を別リージョンに展開する機能で、クロスアカウントの一時的権限委譲・取り消しの手段ではない。
選択肢DはKMSのキーマテリアルをエクスポートできず（外部鍵インポートは別概念）、技術的に成立しない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →