AWS ソリューションアーキテクト プロフェッショナル多アカウントの統制と証跡オリジナル・公式資料照合難易度
短期間だけ、特定ワークフローに1本のKMSキーで復号を許したい。ワークフロー終了後に、その一時的な許可を独立して解除したい。適する方式はどれか。
A
同じキーのgrantにDenyを記述して他の許可をすべて打ち消す
grantは許可を与えるもので、Denyを追加する方式ではない。
B
一つのgrantに全リージョンの任意キーを自動的に含める
grantは一つのKMSキーを対象とし、任意のキーへ横断適用されない。
C
必要な操作とEncryption Contextの制約を付けたgrantを作り、終了後にretireまたはrevokeする★ 正解
grantは特定キーの操作を委ねる許可で、キー全体のポリシーを作り直さずに解除できる。作成権限の範囲も管理する。
D
kms:*のキー管理権限を恒久的に付け、処理終了後も残す
必要なのは限定的な復号であり、恒久的な全管理権限は過大である。
解説
grantは特定キーの操作を委ねる許可で、キー全体のポリシーを作り直さずに解除できる。作成権限の範囲も管理する。
根拠資料・確認情報
対応範囲：SAP-C02
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。
同じレッスンの問題
問題 1
SCPでaws:RequestedRegionが東京以外の要求をDenyすると、通常の業務で必要なIAM操作まで失敗した。リージョン制限の設計で必要な見直しはどれか。
問題 2
OrganizationsのタグポリシーでCostCenterの表記と許容値を定義し、対応リソースの強制を有効化した。タグなしリソースの作成も全件拒否できるという説明は正しいか。
問題 3
あるAWSサービスの委任管理者をメンバーアカウントに登録した。担当者は、これでOrganizationsのすべてのポリシーを自由に変更できると考えている。適切な説明はどれか。
問題 4
StackSetsで多数アカウントへ更新中に失敗許容数へ達して処理が停止した。一部のスタックは更新済みである。次の対応として適切なのはどれか。