AWS ソリューションアーキテクト権限上限・秘密更新・戻り通信オリジナル・公式資料照合難易度★★★☆☆
アプリ用DBパスワードを安全に保存し、定期変更時にはDB側と保存した資格情報の両方を整合させたい。対象DBに対応したローテーション方式を使える。暗号化キーの更新と混同しない構成はどれか。
A
対応するSecrets Managerの自動ローテーションを設定し、アプリも更新後の値を取得する★ 正解
DB側とシークレットの整合を保つ資格情報更新の仕組みを使っている。
B
KMSキーの自動ローテーションだけを設定し、DBパスワードも変わったと扱う
保存データを暗号化するキーの変更と、DBが認証するパスワードの変更は別である。
C
Parameter StoreのSecureStringへ保存するだけで、DB側のパスワードも周期的に変わると扱う
暗号化した保存だけでは、DB側の資格情報を周期的に更新する処理を構成したことにならない。
D
新しい値をSecrets Managerへ書くが、DB側のパスワードは旧値のままにする
保存値とDBが受け入れる認証情報が一致せず、アプリが新値で接続できなくなる。
解説
Secrets Managerのローテーションは、保存したシークレットとDB・サービスの資格情報を更新する。KMSキーのローテーションは暗号鍵の管理であり、DBのログインパスワードを変更する操作ではない。アプリも更新後の値を取得する設計にする。
根拠資料・確認情報
対応範囲：SAA-C03
資料確認日：2026-10-30
同じレッスンの問題
問題 1
IAMユーザーへ、特定S3オブジェクトのGetObjectをAllowするpermissions boundaryを付けた。しかしユーザーのidentity-based policyはGetObjectを許可せず、bucket policy等からの別の許可もない。permissions boundaryの意味として正しいのはどれか。
問題 3
パブリックIPv4を持つEC2が、送信元TCPポート50123から外部APIの443へ接続する。経路とSecurity Groupは通信を許可するが、カスタムNACLは送信443を許可し、受信は宛先443だけを許可して残りを拒否する。APIからの応答を通すために確認すべきNACLルールはどれか。