暗号化コンテキストでの用途の分離

正解は イ です。 暗号化コンテキスト は復号のときにも同じ値が必要です。キーポリシーの kms:EncryptionContext の条件で、部署ごとに使える値を限れます。 キーの権限があれば、別のバケットのデータも復号できる。 ほかの部署のデータを復号できなくなる。 エイリアスは同じキーで、権限の分離にならない。 全てのデータを復号できてしまう。

1つのKMSのキーで、複数の部署のデータを暗号化している。部署のアプリが、ほかの部署のデータを復号することを防ぎたい。

最も適切なものを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
部署ごとにデータを別のバケットに置くだけで、キーの権限は変えない
イ
暗号化コンテキストの条件で、部署ごとに限る
ウ
キーのエイリアスを部署ごとに作り、同じキーを指させる
エ
全ての部署のアプリに、そのキーの全ての操作を許可する