保存データの自動暗号化と職務分掌に基づくアクセス制御

ア（誤り）：明示された暗号化方式やキーはデフォルトを上書きできる。指定キーへの統一という要件には拒否条件が必要である。 イ（誤り）：復号を承認された主体だけに制限する要件を満たさない。S3操作とKMS操作の許可を分ける。 ウ：デフォルト暗号化だけではPUT時の異なる明示指定を防げない。明示的拒否を併用する。この構成ではヘッダーを省略したPUTも拒否されるためアップロード側を対応させる。 エ：SSE-KMSで暗号化されたオブジェクトの読み取りには、S3のGetObject権限に加えてKMSのkms:Decrypt権限が必須となるため、KMSキーポリシーで二重のアクセス制御境界を確立できる。 オ（誤り）：SSE-S3はS3管理キーを使う。指定したKMSキーへ統一する要件にはSSE-KMSと適切な強制条件が必要である。

S3へアップロードするすべての新規オブジェクトを、指定したKMSキーによるSSE-KMSに統一したい。アップロード側の異なる暗号化指定も拒否する。さらに、S3の読み取り権限を持つ主体のうち、承認済みの主体だけが復号できるようにしたい。

最も適切なものを2つ選択してください。

出典AWS非公式・オリジナル問題
【複数選択】 正解を 2つ 選択してください0 / 2 選択中