無限ノック › SCS 練習問題一覧 › 問題
SCSデータ保護

ある製造業企業が、AWS上で動作する100以上のマイクロサービス間のmTLS（相互TLS認証）を実装しています。以下の要件があります。 ・証明書の発行・失効・管理を完全にAWS上で行う ・インターネット上の公開CAは使用せずプライベート証明書を使用する ・証明書の失効チェック（CRL/OCSP）をサポートする ・ACMと統合して証明書をAWSリソースへ自動デプロイしたい この要件を満たす最も適切なソリューションはどれか？

A
ACMパブリック証明書をRoute 53プライベートホストゾーンと組み合わせて使用する
ACMパブリック証明書は公開CA（Amazon Trust Services）により署名されるため、インターネット上で検証可能です。「公開CAを使用しない」要件に直接反し、プライベート環境要件を満たしません。
B
AWS Private Certificate Authority (AWS Private CA) でプライベートCAを構築し、ACMと統合する
✓ 正解
Private CAはプライベート証明書の発行・失効・管理をフルサポートし、ACMとネイティブ統合できます。EC2・ECS・EKSへの自動デプロイも可能で、公開CA不使用のクローズドなPKI環境を要件通りに実現できます。
C
AWS KMSの非対称キーペアでサービスごとに自己署名証明書を生成し、CloudHSMで鍵を管理する
KMS非対称キーペアでPKIを独自実装することは可能ですが、証明書発行・失効・ライフサイクル管理などの完全なPKIインフラ構築に膨大な実装・運用コストが必要です。マネージドサービス要件に合いません。
D
ACMでプライベート証明書を発行し、IAM証明書ストアで証明書ライフサイクルを管理する
IAM証明書ストアは旧来の機能で、ELBへのSSL/TLS証明書アップロードに使用されていました。証明書発行・失効・自動デプロイなどのPKI管理機能を持たないため、本要件を満たしません。

解説

AWS Private CAは内部PKIインフラをAWSのマネージドサービスとして構築できる専用サービスです。プライベート証明書の発行・管理・失効（CRL/OCSP）をフルサポートし、ACMとネイティブ統合することでEC2・ECS・EKS等への証明書自動デプロイが可能です。公開CAを一切使用しないクローズドなPKI環境を要件通りに実現できます。 選択肢AのACMパブリック証明書はインターネット上の公開CA（Amazon Trust Services）が署名するため、「公開CAを使用しない」という要件に反する。 選択肢CのKMS非対称キーペア + CloudHSMは独自PKIの実装に利用できるが、証明書発行・管理・失効の完全なPKIインフラを構築するには膨大な実装・運用コストがかかり、マネージドサービスの要件に合わない。 選択肢DのIAM証明書ストアはELBへのSSL/TLS証明書アップロードに使われていた旧来の機能であり、証明書発行やPKIライフサイクル管理機能を持たない。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
← SCS の問題一覧に戻る