無限ノック › SAP 練習問題一覧 › 問題SAP 既存のソリューションの継続的改善 複数選択
ある企業では、AWS Systems Manager Parameter Store の SecureString パラメータを複数のAWSアカウントのLambda関数から参照できるように設計を変更しようとしています。現在はAWSマネージドキー（aws/ssm）で暗号化されています。最小限の変更でクロスアカウントアクセスを実現するために必要な対応として、正しいものをすべて選択してください。（2つ選択）
A AWSマネージドキー（aws/ssm）のキーポリシーに、アクセス元アカウントのIAMロールを追加する
が不正解の理由は、AWSマネージドキー（aws/ssm）のキーポリシーはユーザーが編集できないため、クロスアカウント付与は不可能です。
B SecureString パラメータの暗号化キーをカスタマーマネージドキー（CMK）に変更する
✓ 正解
AWSマネージドキー（aws/ssm）はキーポリシーを編集できないため、クロスアカウントアクセスに対応していません。クロスアカウントでSecureStringを参照するには、まずCMKに切り替え、そのCMKのキーポリシーにアクセス元アカウントのIAMロールへのkms:Decrypt権限を追加することが必要です。
C CMK のキーポリシーに、アクセス元アカウントのIAMロールへの kms:Decrypt 権限を追加する
✓ 正解
AWSマネージドキー（aws/ssm）はキーポリシーを編集できないため、クロスアカウントアクセスに対応していません。クロスアカウントでSecureStringを参照するには、まずCMKに切り替え、そのCMKのキーポリシーにアクセス元アカウントのIAMロールへのkms:Decrypt権限を追加することが必要です。
D Parameter Store のリソースポリシーでアクセス元アカウントからの ssm:GetParameter を許可する
が不正解の理由は、Parameter StoreはS3のようなリソースベースのポリシー（リソースポリシー）を持たないため、この設定は存在しません。クロスアカウントアクセスはアクセス元のIAMロールポリシーとKMSキーポリシーの組み合わせで実現します。
解説 AWSマネージドキー（aws/ssm）はキーポリシーを編集できないため、クロスアカウントアクセスに対応していません。クロスアカウントでSecureStringを参照するには、まずCMKに切り替え、そのCMKのキーポリシーにアクセス元アカウントのIAMロールへのkms:Decrypt権限を追加することが必要です。
選択肢Aが不正解の理由は、AWSマネージドキー（aws/ssm）のキーポリシーはユーザーが編集できないため、クロスアカウント付与は不可能です。
選択肢Dが不正解の理由は、Parameter StoreはS3のようなリソースベースのポリシー（リソースポリシー）を持たないため、この設定は存在しません。クロスアカウントアクセスはアクセス元のIAMロールポリシーとKMSキーポリシーの組み合わせで実現します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →