4.3標準
S3の顧客データを分析チームへ提供するが、原データには個人情報が含まれる。
保存時の暗号化と、分析者が不要な列を読めない制御を両立する。
要件を満たす対策を2つ選べ。
× 不正解
SSE-KMSと限定的なキー権限で保存データを暗号化し、Lake Formationの列レベル権限やマスキングで参照範囲を絞る。
詳細解説
正しいLake Formationの列レベル権限またはマスキングで分析者の参照列を制限する
作業に必要な列だけを公開し、原データの不要な個人情報を隠せる。
誤り分析要件に関係なくすべての列を不可逆ハッシュへ変換する
必要な結合や分析を壊す可能性があり、目的に応じた最小化ではない。
誤りKMSキーをアプリケーションのソースコードへ埋め込む
秘密情報の漏えいと、キー利用の統制不能を招く。
誤り暗号化せずCloudTrailのアクセスログだけを保存する
監査記録は保存データの漏えいを防ぐ暗号化や認可の代替にならない。
正しいSSE-KMSで暗号化し、KMSキーの利用主体をデータ処理ロールへ限定する
保存時の暗号化と復号権限を分離し、キー利用を監査できる。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
S3 SSE-KMS、AWS KMS key policy、Lake Formation column-level permissionsの公式説明を確認する。
確認できる内容
暗号化、鍵認可、列制御、監査を一つの対策と混同せず組み合わせられる。
理解のポイント
- SSE-KMS
- KMSキー権限
- 列レベル権限
確認時の注意
- 確認環境: AWS公式DEA-C01試験ガイドと各サービスの公式ドキュメントの確認
- S3 SSE-KMS、AWS KMS key policy、Lake Formation column-level permissionsの公式説明を確認する。
基礎のおさらい
SSE-KMS
S3オブジェクトをKMSキーで暗号化し、キー利用をIAM・キーポリシーで制御する方式。
列レベル権限
テーブルの特定列だけを主体へ許可またはマスクするアクセス制御。
問題IDAWS-DEA-304
確認環境AWS公式DEA-C01試験ガイドと各サービスの公式ドキュメントの確認
最終技術確認2026-08-31
誤り・権利侵害を報告