SAP-C02-065 · 理解確認
理解確認：Data at RestのEncryption Strategy
12問 · 1問ずつ確認
S3バケットでは現在、新規オブジェクトはSSE-S3で自動暗号化される。一方、2022年から保存されているオブジェクトも含め「バケット内の全オブジェクトを暗号化済みにする」コンプライアンス要件がある。最も適切な判断はどれか?
B. バケットバージョニングを有効化し、新しいバージョンが作成されるまで既存オブジェクトをコンプライアンス対象外とする
C. 既存オブジェクトの暗号化状態を確認し、必要ならS3 バッチ 運用等で暗号化されたコピーを作成して是正する
D. デフォルト暗号化をSSE-KMSへ変更すれば、過去オブジェクトも同じ時点で新しいキーへ自動再暗号化される
答えと解説
答え：C
デフォルト暗号化は今後書き込みへ適用されます。既存オブジェクトは別途状態を確認し、必要なら再暗号化します。
既存の暗号化されていないAmazon RDS DBインスタンスに保管中の暗号化要件が追加された。ダウンタイムを伴う切替計画を作成できる。最も適切な基本移行はどれか?
B. 自動バックアップだけを暗号化し、プライマリストレージは次回メンテナンスウィンドウまで維持する
C. 読み取りレプリカを既存DBと同じ暗号化されていないストレージで作成し、昇格後にキーを設定する
D. スナップショットを作成し、暗号化したスナップショットコピーから新しい暗号化済みDBを復元して切り替えする
答えと解説
答え：D
既存の暗号化されていないRDS DBを直接暗号化するのではなく、暗号化済みスナップショットコピーから復元する移行を評価します。
Amazon EBSのデフォルト暗号化を東京リージョンで有効化した。以前から存在する暗号化されていない EBS ボリュームもコンプライアンス対象である。最も適切な判断はどれか?
B. デフォルト暗号化を有効化した時点で既存ボリュームにもデフォルト KMSキーが遡及適用される
C. 既存ボリュームを一度デタッチして同じインスタンスへアタッチし直せばデフォルト暗号化が適用される
D. インスタンスを停止 / 起動すると既存ボリュームのデータキーが自動更新され暗号化される
答えと解説
答え：A
EBS デフォルト暗号化は既存ボリュームへ遡及しません。今後のリソースと既存リソースを分けます。
保管中のデータの暗号化戦略で既存データまで含めて確認すべき事項を3つ選択してください。
B. スナップショット / コピー / 復元による再暗号化経路が必要か
C. アプリケーショントラフィックのTLS暗号スイート
D. インターネット公開エンドポイントにWAFを配置するか
E. 移行後のリソースでもバックアップ / コピーが暗号化要件を維持するか
F. ALBリスナー証明書の更新方式
答えと解説
答え：A / B / E
既存データでは遡及有無、移行経路、移行後の派生データまで確認します。
Amazon RDS DBインスタンスはKMSキー Aで暗号化されている。組織標準の変更によりキー Bへ統一する必要がある。最も適切な判断はどれか?
B. キー Aのエイリアスをキー Bへ付け替えれば保存済みデータもキー Bで再暗号化される
C. スナップショットを作成し、キー Bで暗号化したスナップショットコピーから新しいDBを復元して切り替えする
D. キー Bをキー Aのキーポリシーへ追加すれば既存データの暗号化キーも自動切替される
答えと解説
答え：C
既存の暗号化済みRDSのKMSキーはインプレース変更できないため、スナップショットコピー / 復元による移行を評価します。
企業は東京リージョンと大阪リージョンでEC2 ワークロードを展開し、今後作成するEBS ボリュームをすべて暗号化したい。東京リージョンではデフォルト暗号化を有効化済みである。最も適切な追加確認はどれか?
B. デフォルト暗号化はリージョン単位なので、大阪リージョンでも設定と使用キーを要件に合わせて確認する
C. 東京リージョンのカスタマーマネージドキー ARNをそのまま大阪リージョンのデフォルト KMSキーとして設定する
D. 起動テンプレートに暗号化設定があればリージョン側のデフォルト暗号化は常に不要と判断する
答えと解説
答え：B
EBS デフォルト暗号化はリージョン単位です。マルチリージョンでは各リージョンの設定を確認します。
Amazon S3のデータをSSE-KMSで暗号化したい。同一AWSアカウント内で利用し、独自のキーポリシー、クロスアカウント共有、独自ローテーション管理などの要件はない。KMSキーの管理負荷を抑えたい場合の候補として最も適切なのはどれか。
B. 独自要件がなくても必ずカスタマーマネージドKMSキーを新規作成する
C. KMSを使用せず、暗号化要件そのものを削除する
D. 別AWSアカウントのAWSマネージドキーを共有キーとして利用する
答えと解説
答え：A
独自のキーポリシーやクロスアカウント共有などの要件がなく、サービス統合されたKMS暗号化を低い管理負荷で利用したい場合はAWSマネージドキーが候補になります。要件が増えた場合はカスタマーマネージドキーを評価します。
プライマリリソース以外のデータライフサイクルをレビューしている。適切な確認を3つ選択してください。
B. プライマリリソースが暗号化済みなら、すべてのバックアップも同じキーを自動継承すると仮定する
C. バックアップ保持期間だけを確認し、暗号化状態はプライマリリソースと同一として扱う
D. クロスリージョンコピーでは宛先側で使用するKMSキーや暗号化設定を確認する
E. コピー / 復元で暗号化状態や使用キーがどう変化するかサービス仕様を確認する
F. エクスポートデータもプライマリリソースのキーポリシーを必ず継承すると仮定する
答えと解説
答え：A / D / E
プライマリ以外の派生データでも暗号化状態とキーを個別確認します。
カスタマーマネージドKMSキーで暗号化されたバックアップを別アカウントへコピーする設計で、バックアップリソースの共有設定だけは完了している。最も適切な追加レビューはどれか?
B. 対象アカウント側ではリソース権限だけを確認し、KMS関連権限はAWS Backupに委任する
C. 対象アカウントまたはコピー処理が必要なKMSキーを利用できるか、リソースアクセスとキーアクセスを合わせて確認する
D. クロスアカウントなら必ずAWS所有キーへ切り替えれば全サービスで共有要件を満たせると判断する
答えと解説
答え：C
クロスアカウントの暗号化済みデータではリソースとキー双方のアクセスが成立条件です。
暗号化済み EBS スナップショットを別KMSキーへ標準化したい。最も適切な設計判断はどれか?
B. スナップショットコピー時に別KMSキーを指定して再暗号化し、そのコピーを新しい標準として利用する
C. KMS エイリアスを変更すればスナップショット暗号文も新キーマテリアルへ自動変換される
D. スナップショットを同じリージョン内で共有すればAWSが自動的に宛先キーへ再暗号化する
答えと解説
答え：B
EBSではスナップショットコピー時に別KMSキーで再暗号化できます。
プライマリデータベースは暗号化済みだが、コンプライアンス範囲には自動バックアップとクロスリージョンコピーも含まれる。最も適切な判断はどれか?
B. バックアップとクロスリージョンコピーについて暗号化状態、使用キー、宛先側のキー要件を個別に確認する
C. バックアップ保持期間が要件を満たせば暗号化状態はプライマリ DBと同一とみなす
D. クロスリージョンコピーはネットワーク転送中だけ暗号化すれば保存先の保管中の暗号化確認は不要とする
答えと解説
答え：B
プライマリデータだけでなく派生データの暗号化の動作も確認します。
カスタマーマネージドKMSキーで暗号化されたリソースをスナップショットコピー / 復元して移行する。ストレージ側権限は正しいがコピー処理がKMSアクセス拒否で失敗した。最も適切なアーキテクチャ上の理解はどれか?
B. リソースが暗号化済みならコピー時のKMSアクセスは不要であり、ストレージ権限だけで十分である
C. カスタマーマネージドKMSキーは暗号化時にだけ使われ、スナップショットコピーや復元時には評価されない
D. KMSアクセス拒否は保管中の暗号化設計とは無関係なのでネットワークルートだけを確認する
答えと解説
答え：A
暗号化されたリソースの移行 / コピー / 復元では、ストレージ側の許可だけでなくKMS側の認可も成立条件です。カスタマーマネージドKMSキーでは、キーポリシーを基点にIAMポリシーやGrantを含む実効権限を確認します。