AWS ソリューションアーキテクト通信経路と認可の境界オリジナル・公式資料照合難易度
SSE-KMSで暗号化されたS3オブジェクトを同じアカウントのロールで読む。S3のGetObject許可はあるが、使用するKMSキーでDecryptできない。確認すべき追加条件はどれか。
A
S3のListBucketがあれば復号条件は無条件に免除される
一覧取得の権限はKMSでの復号認可を代替しない。
B
kms:Encryptだけがあれば、SSE-KMSの既存オブジェクトも読めるとする
読取りでは復号に必要な権限を確認する。暗号化権限だけでは不足する。
C
s3:GetObjectだけを許可し、KMSキーの認可は一切確認しない
SSE-KMSの読取りではKMSの復号権限とキー側の認可も確認する。
D
KMSキーのポリシーやIAM等で、必要な復号利用が許可されているか★ 正解
SSE-KMSの取得にはS3の読取り権限に加え、KMSキーの復号利用に必要な認可も満たす必要がある。
解説
SSE-KMSの取得にはS3の読取り権限に加え、KMSキーの復号利用に必要な認可も満たす必要がある。
根拠資料・確認情報
対応範囲：SAA-C03
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。
同じレッスンの問題
問題 1
EC2から対応AWSサービスへインターフェースVPCエンドポイントを使う。アプリが通常のリージョンサービス名を使ったままプライベート接続を利用するための設定はどれか。
問題 2
プライベートDNSは正しく解決するが、EC2からインターフェースエンドポイントへのHTTPS接続がタイムアウトする。エンドポイントのSGには受信許可がない。優先して追加する設定はどれか。
問題 3
エンドポイントポリシーで対象S3バケットへのGetObjectをAllowしたが、アプリのロールには必要な権限がなく、バケットポリシーでも許可されていない。正しい理解はどれか。
問題 4
VPC AとB、BとCをそれぞれVPCピアリングで接続した。AからCへの直接通信は設定していない。ピアリングの基本的な制約はどれか。