RDSとAuroraのセキュリティ設計 暗号化・IAM認証・監査ログを組み合わせる

SCSでは、データベースを「守る・認証する・記録する」の3層で設計できるかが問われます。RDSとAuroraの機能を要件から選びましょう。

覚え方：3つの観点

• 保護：保存時と転送中の暗号化、ネットワーク分離
• 認証：パスワードの管理とIAM認証
• 記録：監査ログとアクティビティの監視

要件ごとの選び方

保存時の暗号化はKMSで行い、作成時にしか有効化できません。既存の未暗号化DBは、スナップショットを暗号化コピーして復元します。使いどころは、規制で保存時暗号化が必須のとき、そして組織全体の統制にはSCPで未暗号化DBの作成を拒否する運用です。

転送中の暗号化は、PostgreSQLならrds.force_ssl、MySQLならrequire_secure_transportのパラメーターで強制します。

認証：マスターパスワードはSecrets Managerで自動ローテーションします。アプリからの接続には、IAM認証で15分有効のトークンを使えば、パスワードの保存が不要になります。

チェックリスト

• 暗号化を後から有効にできない理由と対処を説明できる
• SSL強制のパラメーターを区別できる
• IAM認証とSecrets Managerの使い分けを言える
• 監査ログの出力先を挙げられる

まとめ

保護、認証、記録の3層で整理すると選択肢の違いが明確になります。 理解度はクイズで確認し、最新の出題範囲はAWS認定 公式ページで確認しましょう。