SOAセキュリティとコンプライアンス
あるヘルスケア企業は、コンプライアンス要件として EBS ボリューム・RDS・S3 で使用する暗号化キーを毎年ローテーションすることが義務付けられています。現在、数百のカスタマーマネージドキー（CMK）を運用しており、既存の暗号化データを再暗号化することなく、運用チームの手動作業を最小限に抑えて年次ローテーション要件を確実に満たしたいと考えています。最も運用負荷の低い方法はどれですか。
A毎年新しいカスタマーマネージドキーを手動作成し、既存データを新しいキーで再暗号化する Lambda 関数を EventBridge スケジュールで定期実行する
再暗号化を伴う Lambda ジョブを数百キー分実装・監視する必要があり運用負荷が最も高いうえ、要件で禁止されている既存データの再暗号化を前提としているため不適切です。
B各カスタマーマネージドキーで自動キーローテーションを有効化し、KMS が定義した周期で新しいキーマテリアルを生成するようにする
✓ 正解
カスタマーマネージドキーの自動キーローテーションは KMS が定期的にキーマテリアルを更新し、キー ID やポリシーを変えず旧マテリアルも保持するため、再暗号化せずに年次ローテーション要件を最小の運用負荷で満たせます。
CAWS マネージドキーに移行し、AWS 側で自動管理されるローテーションスケジュールにすべてのリソースを従わせる
AWS マネージドキーは自動ローテーションされますがキーポリシーを制御できず、既存のカスタマーマネージドキーで暗号化されたリソースを移行するには再暗号化が必要になるため要件に合いません。
D外部で生成したキーマテリアルをインポートして有効期限を1年に設定し、期限切れごとに新しいマテリアルを再インポートする
インポートしたキーマテリアルは自動ローテーションに非対応で、有効期限の管理と定期的な手動再インポートが必要となり、運用負荷を最小化するという要件を満たせません。
解説
AWS KMS のカスタマーマネージドキーで自動キーローテーションを有効化すると、KMS が設定した周期（デフォルト365日、期間はカスタマイズ可能）で新しいバックエンドキーマテリアルを自動生成します。キー ID・ARN・エイリアス・キーポリシーは変わらず、古いマテリアルは復号のために保持されるため、既存の暗号化データを再暗号化する必要がありません。EBS・RDS・S3 側の設定変更も不要で、運用負荷が最小です。
選択肢Aの Lambda による再暗号化は、数百キー分のデータ再暗号化ジョブの実装・監視が必要で運用負荷が非常に高く、要件の「再暗号化なし」にも反します。
選択肢Cの AWS マネージドキーは自動で年次ローテーションされますがキーポリシーを細かく制御できず、既存の CMK 暗号化リソースを移行するには再暗号化が必要になります。
選択肢Dのインポートキーマテリアルは自動ローテーションに対応しておらず、有効期限管理と手動再インポートの運用が発生します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →