【SCS-C02 模擬】第三者ベンダーに特定のS3オブジェクトのみ一時的な復号権限を付与し、監査ログを分離したい場合の設計は？
自社はS3バケット上の分析データをAWS KMSのカスタマー管理キーで暗号化しています。外部の分析ベンダーに、契約期間中のみ特定のプレフィックス配下のオブジェクトを復号して読み取れるようにしたいですが、キーポリシーやIAMポリシーを頻繁に書き換えたくなく、ベンダーによる復号操作を自社の他のKMS利用と区別して監査したいという要件があります。契約終了時には速やかにアクセスを取り消せる必要があります。最も適切なものはどれですか。
正解: B
KMSグラントはキーポリシー本体を変更せずに特定のプリンシパルへ細かい単位（オペレーション種別やプレフィックス条件など）でキーの使用権限を一時的に付与でき、CreateGrantで発行しRetireGrant／RevokeGrantで即座に取り消せるため、契約終了時の迅速な権限剥奪に適している。またグラントIDを使った操作はCloudTrailで区別して追跡しやすい。Aはキーポリシーの直接編集が必要で変更のたびに影響範囲が大きく即時取り消しの俊敏性にも欠ける。Cは長期アクセスキーの発行でクレデンシャル管理リスクが高く最小権限の原則にも反する。Dは暗号化自体を無効化するもので機密データ保護の要件に反する。