KMSによる暗号化（SSE-S3とSSE-KMSの比較）難易度 標準無料
金融系のワークロードで、S3に保存する機密データの暗号化方式として SSE-S3（Amazon S3管理キー）ではなく SSE-KMS（カスタマー管理CMK）を採用することにした。SSE-KMS を選ぶ利点として正しいものを2つ選べ。
- ACMKへの
GenerateDataKey/Decrypt呼び出しがCloudTrailに記録されるため、誰がいつそのキーでデータにアクセスしたかを個別に監査できる - BKMSのAPIコール課金が発生しない分、
SSE-S3より一般的に安価に運用できる - Cキーポリシー・IAMポリシーで利用者を細かく制御でき、キーの無効化・ローテーション・削除スケジュールなどライフサイクルを管理者側でコントロールできる
- D
SSE-KMSを使うとS3オブジェクトへのIAM側のアクセス許可設定が一切不要になる
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
SSE-S3 と SSE-KMS はどちらもAWS側でオブジェクトを暗号化する点は同じだが、鍵の可視性・制御性・監査性が大きく異なる。
- 監査性：
SSE-KMSはCMKに対するGenerateDataKey/Decryptの呼び出しがCloudTrailに記録されるため、 誰がいつそのキーを使ってデータへアクセスしたかを個別に追跡できる。SSE-S3のAWS管理キーではここまでの粒度の監査はできない。 - 鍵のライフサイクル制御：
SSE-KMSのCMKはキーポリシー・IAMポリシーで誰が使えるかを細かく制御でき、 ローテーション・無効化（disable）・削除スケジュールなど鍵自体のライフサイクルを管理者が制御できる。SSE-S3のキーはAWSが完全管理し利用者側では制御できない。
一方でコスト面は逆で、SSE-KMS はKMSのAPIコール（GenerateDataKey 等）に応じた課金が発生し、SSE-S3 より高くなる。
- B逆。
SSE-KMSはKMSのAPIコール（GenerateDataKey等）に応じた追加課金が発生するため、一般にSSE-S3より高くなる。 - D不要にはならない。S3自体のアクセス許可（バケットポリシー/IAM）に加え、CMKのキーポリシー・IAMポリシーの両方を整合させる必要がある。
ひっかけ： 「
SSE-KMS の方が安い（B）」は逆。KMS APIコールの課金が乗る分、一般にSSE-S3より高コストになる。
また「IAM側の権限設定が不要になる（D）」も誤り。むしろキーポリシーとIAMポリシーの両方を意識した権限設計が必要になる（後続の設問参照）。AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）