SCSデータ保護
ある金融機関が、暗号化キーを単一テナントの専用HSM内でFIPS 140-2 レベル3の認証を受けたハードウェアで生成・保管し、キーマテリアルに対する完全な管理権限を保持することをコンプライアンス要件としています。同時に、これらのキーをAmazon S3のSSE-KMSおよびAmazon EBSボリューム暗号化でシームレスに利用でき、既存のKMS統合をそのまま活かせる必要があります。運用負荷を抑えつつこの要件を満たす構成はどれですか。
AAWS CloudHSMクラスターを作成し、それをバックエンドとするAWS KMSカスタムキーストアを構成する。KMS経由でS3やEBSの暗号化に利用しつつキーマテリアルは専用HSM内に保持される。
✓ 正解
KMSカスタムキーストアはCloudHSMクラスターをバックエンドとし、単一テナントのFIPS 140-2レベル3 HSM内にキーマテリアルを保持する。KMS APIを介するためS3のSSE-KMSやEBS暗号化にそのまま統合でき、運用負荷も抑えられる。
BAWS KMSのカスタマー管理キー（CMK）を作成し、自動キーローテーションを有効化してS3およびEBS暗号化に使用する。KMSはFIPS認証されたHSMでキーを保護する。
KMSのマネージドHSMはマルチテナントで共有されるため、単一テナントの専用HSMでキーを保管しキーマテリアルを完全管理するという要件を満たせない。自動ローテーションは便利だが要件の核心ではない。
CAWS CloudHSMクラスターを構成し、PKCS#11 SDKを用いてアプリケーションから直接暗号化・復号処理を行う。キーは単一テナントの専用HSM内で生成・保管され、外部に一切出ない構成とする。
CloudHSMをPKCS#11で直接利用する方式はキーを専用HSMに保持できるが、S3のSSE-KMSやEBS暗号化とネイティブ統合しない。既存のKMS統合を活かせず、アプリ側の実装負荷が大きくなる。
DAWS KMSにオンプレミスHSMで生成したキーマテリアルをインポート（BYOK）し、S3およびEBS暗号化に使用する。キーマテリアルの生成元を組織が管理できる。
BYOKでインポートしたキーマテリアルは共有KMS内に保管されるため、単一テナントの専用HSM内で保管する要件を満たさない。またインポートキーは自動ローテーション非対応で運用制約もある。
解説
AWS KMSカスタムキーストアはAWS CloudHSMクラスターをバックエンドに使い、単一テナントでFIPS 140-2レベル3のHSM内にキーマテリアルを保持しつつ、KMS API経由でS3のSSE-KMSやEBS暗号化にシームレスに統合できる。既存のKMS統合を変えずに専用HSMの管理権限を得られ運用負荷も低い。
選択肢のKMS標準CMKはマルチテナントHSMで単一テナント要件に不適合。
選択肢のCloudHSM直接利用はS3/EBSとネイティブ統合しない。
選択肢のBYOKはキーが共有KMSに保管され要件を満たさない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →