SCSデータ保護
ある金融機関が、暗号鍵のキーマテリアルを「FIPS 140-2 レベル3（Level 3）認定済みのHSM（ハードウェアセキュリティモジュール）の外部に平文で出てはならない」というコンプライアンス要件を持っています。また、Amazon S3・Amazon EBS・Amazon RDSなどのAWSマネージドサービスのネイティブKMS統合暗号化を引き続き利用したいと考えています。この両要件を同時に満たすアーキテクチャはどれですか？
AAWS KMS カスタマー管理キー（CMK）を使用する（FIPS 140-2 Level 2準拠）
標準的なKMS CMKはFIPS 140-2 Level 2準拠のHSMを使用しており、Level 3認定の要件を満たさないため、より高いセキュリティ水準が必要な場合は対応できません。
BオンプレミスHSMのキーマテリアルをAWS KMSへインポートし、Bring Your Own Key（BYOK）として利用する
オンプレミスHSMからインポートしたキーマテリアルはKMSのLevel 2インフラで管理されるため、インポート後はオンプレミスHSMのLevel 3保護は維持されず要件を満たしません。
CAWS CloudHSMクラスターをAWS KMSのカスタムキーストア（Custom Key Store）として構成し、AWSサービスと統合する
✓ 正解
KMS カスタムキーストアを使用するとキーマテリアルをFIPS 140-2 Level 3認定のAWS CloudHSM上に保管しながら、KMS APIでS3・EBS・RDSなどのAWSサービスとシームレスに統合できます。
DAWS CloudHSMを単独で使用し、アプリケーションからPKCS#11またはJCEプロバイダー経由で直接暗号化操作を実行する
CloudHSMをスタンドアロン使用した場合、S3・EBS・RDSのネイティブKMS統合暗号化を直接利用できず、アプリケーション層での独自実装が必要になります。
解説
KMS カスタムキーストアを使用すると、キーマテリアルをFIPS 140-2 Level 3認定のAWS CloudHSM上に保管しながら、KMS APIを通じてS3・EBS・RDSなどのAWSサービスとシームレスに統合できます。「Level 3 HSM外にキーマテリアルが平文で出ない」要件を満たしつつ、AWSサービスのネイティブ暗号化も利用できます。
選択肢A（標準CMK）は不正解です。通常のKMS CMKはFIPS 140-2 Level 2準拠のHSMを使用しており、Level 3の要件を満たしません。
選択肢B（BYOK）は不正解です。インポートしたキーマテリアルはKMSのインフラ（Level 2）で管理されます。インポート後はオンプレミスHSMのLevel 3保護は維持されません。
選択肢D（CloudHSM単独）は不正解です。CloudHSMをスタンドアロンで使用した場合、S3・EBS・RDSのネイティブKMS統合暗号化を直接利用できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →