保存データを暗号化するために利用できるAWSサービスとして最も適切なものはどれですか？

解説

AWS KMSは暗号鍵を作成・管理し、S3やDynamoDBなど多くのAWSサービスの暗号化で利用できます。

選択肢ごとの解説

実務での使いどころ

AWS で保存データ（data at rest）の暗号化を中核的に担うサービスが AWS Key Management Service（KMS）である。KMS は暗号鍵（カスタマーマスターキー / KMS キー）を作成・保管・ ローテーションするマネージドサービスであり、S3、EBS、RDS、DynamoDB、Lambda、 CloudWatch Logs、Secrets Manager、SNS、SQS など、多くの AWS サービスから「保存先で 暗号化する鍵」として指定できる。鍵そのものは FIPS 140-2 認証済みのハードウェア セキュリティモジュール（HSM）上で保護され、平文の鍵が KMS の外に出ない設計となって いる。 実務での利用パターンは大きく 2 系統に分かれる。1 つは AWS マネージドキー（aws/s3, aws/ebs など、サービスごとに AWS 側が作成する鍵）を使ってデフォルトで暗号化を有効化 するパターンで、特別な要件がなければまずこれで保存データを暗号化する。もう 1 つは カスタマーマネージドキー（CMK）を自分で作成して使うパターンで、鍵のローテーション ポリシー、鍵の使用権限を持つ IAM プリンシパルの制御、鍵ポリシーによるアカウント 境界制御など、より細かい統制が必要なときに採用される。混同しやすいサービスとして CloudFront（CDN）、Route 53（DNS）、AWS Budgets（コスト監視）があり、いずれも暗号化 の主担当ではない点を整理しておくと選択肢を絞りやすい。 CLF-C02 では、「保存データを暗号化するために利用できるサービスはどれか」「S3 や DynamoDB の保存データ暗号化で使う鍵管理サービスは何か」という形で問われる。誤答 として CDN / DNS / コスト監視サービスを当て込んでくるパターンが頻出する。SAA-C03 以降 では、SSE-S3 / SSE-KMS / SSE-C / クライアントサイド暗号化の使い分け、鍵ポリシーと IAM ポリシーの組み合わせ、Envelope Encryption の仕組みが踏み込んで問われる。