SCSインフラストラクチャのセキュリティ
あるメディア企業は、Amazon S3 に保存した動画コンテンツを Amazon CloudFront 経由で配信している。セキュリティ要件として、S3 バケットへの直接アクセスを完全に禁止し CloudFront からのアクセスのみを許可すること、および全オブジェクトをカスタマー管理の AWS KMS キー（SSE-KMS）で暗号化することが求められている。運用負荷を抑えつつ、この2つの要件を同時に満たす構成はどれか。
ACloudFront のオリジンアクセスアイデンティティ（OAI）を作成し、S3 バケットポリシーで OAI のみを許可、バケットのデフォルト暗号化を SSE-S3 に設定する
OAI はカスタマー管理 KMS キー（SSE-KMS）で暗号化されたオブジェクトの配信に対応しておらず、SSE-S3 を用いるためカスタマー管理キーでの暗号化要件も満たせず、両要件とも不成立となる。
BCloudFront のオリジンアクセスコントロール（OAC）を SigV4 署名で構成し、S3 バケットポリシーで CloudFront サービスプリンシパルを許可、KMS キーポリシーで CloudFront からの復号を許可する
✓ 正解
OAC は SigV4 署名により SSE-KMS 暗号化オブジェクトに対応し、バケットポリシーで CloudFront サービスプリンシパルに限定、KMS キーポリシーで復号を許可することで直接アクセス禁止と暗号化を両立できる。
CCloudFront のオリジンアクセスコントロール（OAC）を構成するが KMS キーポリシーは変更せず、S3 バケットポリシーで CloudFront サービスプリンシパルのみを許可する
OAC 構成自体は妥当だが、KMS キーポリシーに CloudFront の kms:Decrypt 許可を加えないと暗号化オブジェクトの復号ができず、CloudFront からの取得が 403 エラーで失敗するため要件を満たせない。
DS3 バケットを静的ウェブサイトホスティングで公開して CloudFront のカスタムオリジンに設定し、Referer カスタムヘッダーで CloudFront 経由のみを許可する
静的ウェブサイトホスティングはバケットを公開状態にし S3 への直接アクセスを許してしまう。Referer カスタムヘッダーも偽装可能で、直接アクセス完全禁止という要件に反する。
解説
オリジンアクセスコントロール（OAC）は SigV4 署名により、SSE-KMS（カスタマー管理キー）で暗号化された S3 オブジェクトの取得をサポートする。S3 バケットポリシーで CloudFront サービスプリンシパル（aws:SourceArn にディストリビューションを指定）に限定し、さらに KMS キーポリシーで CloudFront による kms:Decrypt を許可することで、直接アクセス禁止と SSE-KMS 暗号化の両要件を満たせる。
選択肢Aの OAI は SSE-KMS 暗号化オブジェクトの配信をサポートせず、SSE-S3 ではカスタマー管理 KMS キー要件を満たせない。
選択肢Cの OAC は正しいが、KMS キーポリシーで CloudFront に復号権限を付与しないと暗号化オブジェクトの取得が 403 で失敗する。
選択肢Dのバケット公開＋Referer ヘッダーは S3 への直接アクセスを許してしまい、ヘッダーは偽装可能で要件を満たさない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →