理解確認：CredentialとSecret管理

EC2上のアプリケーションがAmazon S3 APIを利用する。設計案ではIAMユーザーのアクセスキーをSecrets Managerに保存しているが、EC2ではIAMロールを利用可能である。最も適切な設計はどれか?

データベースパスワードを定期ローテーションする。アプリケーション停止を最小化しながら認証情報のライフサイクルを成立させる設計として最も適切なのはどれか?

Secrets ManagerのLambda関数によるローテーションで、新しい認証情報を現在として公開する前に対象への反映と検証を行いたい。最も適切なバージョン切り替えはどれか?

新規アプリケーションではデータベースパスワードをリポジトリやコンテナイメージへ保持してはならず、認証情報変更をアプリケーションリリースと独立して実施できる必要がある。最も適切な設計はどれか?

シークレットのローテーション後にアプリケーション認証が失敗した。シークレット保管先には新パスワードがあるが、データベース側は旧パスワードのままである。最も重要な設計上の問題はどれか?

Amazon ECSサービスでSecrets Managerのデータベースパスワードを環境変数として注入している。シークレットがローテーションされた後、既存タスクが旧パスワードを使い続けている。最も適切な対応はどれか?

シークレットのローテーションをアプリケーションアーキテクチャへ組み込む際に適切な判断を3つ選択してください。

Secrets Managerを使用するアプリケーションがシークレットを長時間キャッシュしている。セキュリティチームがローテーション間隔を短縮し、ローテーション後10分以内の新認証情報利用を要求した。最も適切なアーキテクチャレビューはどれか?

Parameter Store SecureStringにデータベースパスワードを保存し、高度なパラメータのNoChangeNotificationを設定している。要件はデータベースパスワードを30日ごとに自動変更することである。最も適切な判断はどれか?

新しいシークレットをSecrets Managerで管理する。提供側によって利用可能なローテーション機能が異なる可能性がある。最も適切な設計判断はどれか?

アプリケーションを廃止する。シークレットはローテーションされており、現在は利用されていない。認証情報のライフサイクルを閉じる設計として最も適切なのはどれか?

新規Amazon ECSサービスがデータベースパスワードを利用する。要件は「コンテナイメージへ認証情報を含めない」「30日ごとにデータベース側も含めてローテーションする」「ローテーション後10分以内に新しい認証情報へ追従する」「サービス廃止時に不要な認証情報と取得権限を残さない」である。適切な設計判断を4つ選択してください。