セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説実務シナリオ: US-EAST-1 の複数AZ環境で動作するマイクロサービスアーキテクチャを設計中。データベース資格情報と複数のAPIキーを安全に管理し、低レイテンシー・高可用性・セキュリティ・コスト最適化を同時に満たす必要がある。資格情報には自動ローテーションが必要なものと不要なものが混在する。AWS KMSで暗号化し Secrets Manager / SSM Parameter Store を適切に組み合わせて、要件を満たす設計を選べ。
ASecrets Managerをすべての秘密のストレージとして採用し、データベース資格情報には自動回転を有効化する。APIキーは暗号化されたSecureStringとしてSecrets Managerに格納し、KMS CMKで暗号化を適用する。アカウント間共有が必要な場合は Secrets Manager のリソースポリシーでアクセス許可を設定する。
誤答BSSM Parameter Store SecureStringに資格情報を格納し、KMSで暗号化を行う。データベース資格情報の自動回転は実装が必要で Secrets Manager の自動回転機能は使わない。回転実装を自前で行うことでコストは抑えられるが、回転遅延と一貫性の欠如が生じる可能性がある。
誤答Cデータベース資格情報は Secrets Manager の自動ローテーションを使用し、APIキーなどの非回転性の秘密は Parameter Store SecureString に格納する。KMSの同じCMKで暗号化し、IAMポリシーとリソースポリシーでアクセスを制御、必要に応じてクロスアカウントアクセスを利用する。
正解 ⭕⭕
【正解の理由】【正解】 正解。DB資格情報は Secrets Manager の自動ローテーションを活用してセキュリティを高めつつ、回転が不要なAPIキー等は低コストで高速に参照できる Parameter Store SecureString で格納するというバランスのとれた設計。KMS CMKを共通で使用して暗号化を統一、IAMとSecrets Managerリソースポリシーで最小権限を適用。複数アカウント間共有もSecrets Managerの機能で安全に実現できる。
D秘密情報をすべてAmazon S3バケットに格納し、KMSで暗号化を適用してアプリケーションからS3 API経由で取得する。この設計ではSecrets Manager等の自動回転機能が利用できず、アクセス権限の管理が極めて複雑になり、低レイテンシーや高可用性の要件を満たすことが困難になる。
誤答🎯正解の決め手・公式要点まとめ
正解の鍵は、DB資格情報の自動ローテーションを Secrets Manager で実現しつつ、APIキー等の非回転秘密はコストとレイテンシの観点から Parameter Store に格納するという現実的な組み合わせを選ぶ点にある。暗号化は共通の KMS CMK で行い、アクセス管理は IAM ポリシーと Secrets Manager のリソースポリシーを統合して最小権限を適用する。クロスアカウント共有が必要な場合も Secrets Manager の機能で安全に運用可能であることを押さえる。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。