SAP-C02-066 · 理解確認
理解確認：Data in TransitのEncryption Strategy
13問 · 1問ずつ確認
CloudFrontを使用するウェブアプリケーションで、ビューワーからオリジンまで機密データが通過するすべてのネットワークホップを暗号化する要件がある。ビューワー側はすでにHTTPSのみである。最も重要な追加確認はどれか?
B. ビューワー側TLSポリシーを強化すればオリジン側のHTTP利用も暗号化要件を満たせるか
C. オリジンをプライベートネットワークへ移せばオリジンプロトコルをHTTPのまま維持できるか
D. CloudFrontからオリジンへのプロトコルもHTTPSになっており、オリジン側TLSが成立しているか
答えと解説
答え：D
ビューワー接続とオリジン接続は別ホップとして評価します。
セキュリティ要件は「通信経路上に平文区間を作ってはならない」だが、ロードバランサーでアプリケーションデータを復号すること自体は禁止されていない。最も要件に適合するアーキテクチャはどれか?
B. クライアント → HTTP → ロードバランサー → HTTPS → アプリケーション。バックエンドだけを暗号化する
C. クライアント → HTTPS → ロードバランサー → HTTP → アプリケーション。セキュリティグループでバックエンド送信元を限定する
D. クライアント → HTTPS → ロードバランサー → HTTPS → アプリケーション。各ネットワークホップでTLSを成立させる
答えと解説
答え：D
中間での終端が許容されるなら、終端後に再暗号化して各ホップを保護できます。
要件は「アプリケーション以外のネットワークコンポーネントでペイロードを復号してはならない」である。最も重要なアーキテクチャ判断はどれか?
B. ロードバランサーでTLSを終端し、バックエンドをHTTPSにして別TLSセッションを確立する
C. エッジでTLSを終端し、オリジン側に同じ証明書を配置して再暗号化する
D. フロントエンドとバックエンドを別証明書にすれば中間復号を回避できると判断する
答えと解説
答え：A
全ホップ暗号化と中間復号禁止は別要件です。
転送中の暗号化要件をアーキテクチャへ落とす際、最初に確認すべき事項を3つ選択してください。
B. 中間コンポーネントでTLS終端を許容するか
C. 各ホップが暗号化要件の対象か
D. 保存データに利用するKMSキーのローテーション間隔
E. バックアップデータの保持期間
F. ストレージクラスの移行条件
答えと解説
答え：A / B / C
まずデータフローと終端範囲を確定します。
プライベートサブネット内のアプリケーションがプライベートロードバランサー経由で内部APIへHTTP接続している。要件は「内部ネットワークを含め機密データは移動中常にTLSで暗号化」である。最も適切な判断はどれか?
B. プライベート接続を維持したままネットワークACLで内部通信を限定すればTLSは不要になる
C. プライベート接続とは別に内部ホップもHTTPS / TLS化し、平文区間をなくす
D. アプリケーションがプライベートIPだけを持つ場合はHTTPでもペイロードが暗号化されると判断する
答えと解説
答え：C
プライベート接続と転送中の暗号化は別制御です。
CloudFrontディストリビューションでビューワープロトコルポリシーをリダイレクト HTTPからHTTPSへにしている。要件が「平文 HTTP 接続そのものを受け付けてはならない」に変更された。最も適切な変更はどれか?
B. ビューワープロトコルポリシーをHTTPSのみとしてHTTP リクエスト自体を拒否する
C. リダイレクトを維持し、ビューワー TLS セキュリティポリシーだけを強化する
D. ビューワー証明書を別のACM証明書へ変更し、HTTP リクエストはリダイレクトで処理する
答えと解説
答え：B
リダイレクトは最初のHTTP リクエストを受け取ります。HTTP自体を禁止するならHTTPSのみを評価します。
クライアントからApplication Load BalancerまではHTTPS、ALBから対象サーバーまでもHTTPSにして、両区間の通信を暗号化している。さらに「ALBが対象サーバーのアイデンティティを証明書で検証する」ことも要件に含まれる。最も適切な判断はどれか。
B. 対象証明書をプライベートCAで発行すれば、ALBが自動的にCAチェーンとホスト名を検証する
C. フロントエンドのACM証明書と同じCAを使えば、ALBのHTTPS対象でバックエンドのホスト名検証も自動的に成立する
D. 対象グループをHTTPSにするだけで、暗号化と対象サーバーの証明書アイデンティティ検証は常に同じ保証になる
答えと解説
答え：A
クライアント→ALBとALB→対象をHTTPSにすれば通信中暗号化を両区間へ適用できます。一方、ALBのHTTPS対象ではバックエンド証明書のアイデンティティ検証を別要件として扱う必要があり、暗号化と証明書検証を同一視しません。
複数ホップのTLS アーキテクチャについて正しい判断を3つ選択してください。
B. プライベート接続上のHTTPはTLSと同じ転送中の暗号化として扱える
C. フロントエンドに有効な証明書があればバックエンドTLS バージョンも自動的に同じになる
D. ビューワー → CloudFrontとCloudFront → オリジンは別接続として評価する
E. TLS終端ポイントではアプリケーションデータを復号可能な状態にできる
F. 各TLS ホップで証明書/ 信頼 / プロトコル要件を個別確認する
答えと解説
答え：D / E / F
複数TLSセッションはホップごとに独立して評価します。
Amazon API GatewayのパブリックエンドポイントはHTTPSで公開され、バックエンドはVPC内のプライベートアプリケーションである。要件はクライアントからバックエンドまで全ホップ TLS必須である。最も適切な判断はどれか?
B. VPC リンクがプライベート接続を提供するためバックエンドプロトコルはHTTPでも要件を満たす
C. プライベートバックエンド側のセキュリティグループを443だけにすれば統合プロトコルは自動的にHTTPSになる
D. プライベート統合側のプロトコル / TLS 設定も確認し、バックエンド接続へHTTPS / TLSを明示的に成立させる
答えと解説
答え：D
フロントエンドHTTPSとプライベート統合のプロトコルは別に確認します。
Application Load Balancerで独自ドメインをHTTPS公開する。証明書の更新運用をできるだけ減らし、同時にTLS 1.2未満の接続を許可しない要件がある。最も適切な構成はどれか?
B. 自己署名証明書をALBへ設定し、証明書が存在するためTLSバージョン制御は行わない
C. ACM証明書だけを関連付け、TLSセキュリティポリシーはデフォルトのまま要件確認を省略する
D. HTTPリスナーだけを使用し、CloudFront以外のクライアントにはアプリケーション側で暗号化を任せる
答えと解説
答え：A
ACMで発行したパブリック証明書は、ALBなど対応サービスへ関連付けて利用でき、マネージド更新の対象にできます。一方、許可するTLSプロトコル / 暗号スイートはHTTPSリスナーのセキュリティポリシーで制御するため、証明書管理とTLSポリシーの両方を要件へ合わせます。
ALBのフロントエンドリスナーではコンプライアンス要件を満たすセキュリティポリシーを設定済みで、対象グループもHTTPSである。要件はバックエンド接続でも指定TLS 標準を満たすことである。最も適切な確認はどれか?
B. 現在ALB仕様でリスナーポリシーから選択されるバックエンドのセキュリティポリシーを確認し、対象側互換性と要件適合性を検証する
C. バックエンド対象がプライベートIPならフロントエンドポリシーのTLS バージョンがそのまま適用されるとみなす
D. ACM証明書のキーアルゴリズムだけを確認し、バックエンドのセキュリティポリシーは対象側に委ねる
答えと解説
答え：B
ALBのバックエンドポリシーは独立選択ではなく、現在リスナーポリシーカテゴリに応じたサービス動作を確認します。
CloudFrontからカスタムオリジンへの通信をHTTPSのみに変更したところ502 エラーになった。オリジンは443/TCPでリッスンしている。最も適切な追加確認はどれか?
B. ビューワー側証明書とオリジン側証明書の発行者を同一にすればCloudFrontの検証要件を省略できるか
C. オリジンをプライベートネットワークへ配置すればCloudFrontは証明書検証を行わなくなるか
D. オリジン側TLSポリシーを最も古いプロトコルまで許可すれば証明書のドメイン不一致も回避できるか
答えと解説
答え：A
CloudFrontのカスタムオリジンHTTPSではオリジン証明書の検証も接続成立条件です。
既存アーキテクチャでは通常時はバックエンドHTTPSを使用するが、障害時だけロードバランサーからアプリケーションへHTTPへフォールバックする。要件は「バックエンド通信で平文を一切禁止」である。最も適切な判断はどれか?
B. フォールバックがプライベートサブネット内なら平文でも暗号化要件への影響はない
C. HTTPフォールバックも要件違反になるため、障害時を含めTLSを維持する復旧経路へ変更する
D. フォールバック時だけ送信元セキュリティグループを限定すれば暗号化制御と同等になる
答えと解説
答え：C
要件対象の代替 / 障害経路にも平文区間の抜けを残しません。