模擬問題集DEA-C01練習問題 8

DEA-C01 練習問題 8

AWS Data Engineer – Associate・データセキュリティとガバナンス・無料公開(全 200 問中 15 問を無料公開中)

問題
ある企業は、個人を特定できる情報(PII)を含む顧客データを Amazon Redshift クラスターに保存しています。同社のマーケティングチーム、クレーム(保険金請求)チーム、分析チームは、この顧客データにアクセスできる必要があります。 マーケティングチームは、難読化(obfuscated)されたクレーム情報にアクセスできる必要がありますが、顧客の連絡先情報には完全にアクセスできる必要があります。クレームチームは、自チームが処理する各クレームの顧客情報にアクセスできる必要があります。分析チームは、難読化された PII データのみにアクセスできる必要があります。 最も少ない管理上のオーバーヘッド(LEAST administrative overhead)でこれらのデータアクセス要件を適用するソリューションはどれですか?

選択肢と解説

  • 1
    チームごとに個別の Redshift クラスターを作成する。各チームに必要なデータのみをロードする。チームに基づいてクラスターへのアクセスを制限する。
  • 2
    各データ要件に必要なフィールドを含むビューを作成する。各チームが必要とするビューにのみアクセス権を付与する。
  • チームごとに個別の Amazon Redshift データベースロールを作成する。チームごとに個別に適用するマスキングポリシーを定義する。適切なマスキングポリシーを各チームのロールにアタッチする。
  • 4
    顧客データを Amazon S3 バケットに移動する。AWS Lake Formation を使用してデータレイクを作成する。きめ細かなセキュリティ機能を使用して各チームに適切なアクセス権限を付与する。

解説

【正解】C

【0からの解説】
要件は「Redshift に保存済みの顧客データ(PII を含む)に対して、チームごとに『同じ列でも見せ方を変える』(あるチームには平文、別チームには難読化/マスク)を最小管理で実現する」ことです。これに最適なのが Amazon Redshift の 動的データマスキング(Dynamic Data Masking, DDM)+データベースロール です。

動的データマスキングでは、列に対してマスキングポリシーを定義し、それを「ロール(チーム)」単位でアタッチできます。同じ列でも、適用されたポリシーに応じてユーザーごとに平文・部分マスク・完全マスクなど異なる結果を返せます。たとえばマーケティングロールには連絡先は平文・クレームは難読化、分析ロールには PII を難読化、といったポリシーをロールに割り当てるだけで要件を満たせます。

この方式は、データを複製したり大量のビューを作ったりせず、既存の 1 つのテーブルに「ロール × マスキングポリシー」を設定するだけなので管理オーバーヘッドが最小です。よって C が正解です。

【誤りの選択肢】
A:チームごとに別クラスターを立て、必要データだけをロードする方法は、複数クラスターの運用・データ複製・整合性管理が必要で管理負荷が非常に高くなります。
B:ビューを要件ごとに作って付与する方法も実現は可能ですが、難読化のロジックや細かな要件が増えるほどビューの数と保守が膨らみます。列単位でロールごとに見せ方を変える動的データマスキングの方が、ビュー乱立を避けられ管理が容易です。
D:データを S3 へ移して Lake Formation で制御する案は、Redshift にすでにデータがある前提で、わざわざデータを別のストアへ移行・複製する大掛かりな変更が必要となり、管理オーバーヘッドが大きく「最小」の要件に反します。Redshift 内で完結する C が適切です。

【参考】
Amazon Redshift の動的データマスキング
Amazon Redshift のロールベースアクセス制御(RBAC)
← 練習問題 7練習問題 9
DEA-C01 の模擬問題集は全 200

本番形式の練習テスト 4 回を、試験モード/演習モードで受験できます。 全問に解説付き、ドメイン別の弱点分析にも対応。模試プラン(月額 ¥980)からご利用いただけます。

DEA-C01 の模試を受ける料金プランを見る

DEA-C01 の無料公開問題

問題 1問題 2問題 3問題 4問題 5問題 6問題 7問題 8問題 9問題 10問題 11問題 12問題 13問題 14問題 15