【SCS-C02 模擬】SSE-KMSで暗号化した本番S3バケットを、別の監査アカウントのバケットへ宛先側のCMKで再暗号化してレプリケートするために必要な構成は？
本番アカウントのS3バケットは、カスタマー管理キー（CMK）によるSSE-KMSで暗号化されています。監査アカウントのS3バケットへクロスアカウントレプリケーションを構成し、宛先では監査アカウントが管理するCMKで再暗号化して保存します。レプリカの所有者は監査アカウントとし、最小権限の原則を守る必要があります。最も適切なものはどれですか。
正解: A
SSE-KMSオブジェクトのレプリケーションは明示的に有効化が必要です。レプリケーションロールはソースキーでの復号と宛先キーでの暗号化を行うため、両方のキーに対する権限が必要で、宛先側ではキーポリシーとバケットポリシーでロールを許可します。レプリカの所有者を宛先アカウントにするには、所有者の上書きを使います。
Bはレプリケーションロールがソースオブジェクトを復号できないため失敗します。CはCMKで暗号化するという要件に反し、キーによる監査・制御も失われます。Dは手動運用で継続的なレプリケーションにならず、人に広い権限を与えるため最小権限にも反します。