理解確認：KMSによる暗号化アーキテクチャ

機密データの暗号化について、セキュリティチームがキーポリシー、キーの無効化、利用プリンシパルを自社で制御する必要がある。最も適切なのはどれか。

同一アカウントのアプリケーションロールへ kms:Decrypt を許可するIAM ポリシーを設定した。しかし対象KMSキーのキーポリシーはIAM ポリシーによる権限委任を認めておらず、ロールも直接許可していない。最も適切な判断はどれか。

アプリケーションが数十GBのデータを暗号化する。AWS KMSを使った一般的なアーキテクチャとして最も適切なのはどれか。

GenerateDataKeyで取得した平文データキーを使用してアプリケーションデータを暗号化した。次に取るべき設計として最も適切なのはどれか。

アプリケーションロールには暗号化済みS3 オブジェクトを読み取る権限がある。しかしそのオブジェクトの暗号化に使用したKMSキーへの復号権限がない。最も適切な判断はどれか。

セキュリティアカウントにカスタマーマネージドKMSキーがある。アプリケーションアカウントのロールからそのキーを使って復号したい。基本的に必要な設計はどれか。

セキュリティアカウントのKMSキーについて、アプリケーションアカウントのロールには kms:Decrypt が許可されている。しかし所有者側キーポリシーではアプリケーションアカウントもロールも許可していない。結果として最も適切なのはどれか。

規制により、暗号キーをシングルテナント HSM内で生成・管理し、そのHSMクラスター自体を自社で直接管理する必要がある。最も適切な候補はどれか。

企業には「キーマテリアルを自社管理のCloudHSMクラスターへ保持する」という要件がある。一方、AWSサービスからは可能な限りAWS KMSのAPIとサービス統合を利用したい。最も適切なのはどれか。

専用HSM要件がなく、一般的なAWSサービス暗号化、キーポリシーによるアクセス制御、運用負荷の低減が優先される。最も適切な基本判断はどれか。

AWS KMSのキーポリシーとIAM ポリシーについて正しいものを3つ選択してください。

アプリケーションは東京リージョンと大阪リージョンの両方で稼働し、暗号化データをリージョン間で移動する。要件は、リージョンをまたいで同じキーマテリアルを使用したい、データを別リージョンへ移動するたびに再暗号化したくない、各リージョンでローカル KMS エンドポイントを利用したい、である。

AWS KMS マルチリージョンキーについて正しいものを3つ選択してください。

セキュリティチームにはKMSキーのポリシー変更・有効化/無効化・ライフサイクル管理を許可したい。一方アプリケーションロールには暗号化/Decryptだけを許可したい。最も適切な設計はどれか。

セキュリティアカウントのKMSキーをアプリケーションアカウントからクロスアカウント利用している。アプリケーションアカウントへ kms:Decrypt と kms:ScheduleKeyDeletion の両方を許可するポリシーを書いた。最も適切な理解はどれか。

セキュリティアカウントの1つの顧客マネージドKMSキーを30個の本番ワークロードが共通利用している。中央ガバナンスは維持したいが、1つのキー 無効化やポリシー設定ミスが多数ワークロードへ同時影響することを避けたい。最も適切な判断はどれか。

AWS KMS カスタムキー保管先 / AWS CloudHSMについて正しいものを3つ選択してください。

AWS KMS キーの管理主体と標準的な利用方法について正しいものを4つ選択してください。