DVA-C02 練習問題 6

ある開発者は、アプリケーションを複数の AWS リージョンで実行できるよう拡張したいと考えています。開発者は最新の変更を含む Amazon マシンイメージ (AMI) をコピーし、宛先リージョンで新しいアプリケーションスタックを作成したいと考えています。会社の要件により、すべての AMI はすべてのリージョンで暗号化されている必要があります。しかし、同社が使用している AMI のすべてが暗号化されているわけではありません。 暗号化要件を満たしながら、宛先リージョンでアプリケーションを実行できるよう拡張するには、開発者はどうすればよいですか？

【正解】A

【0からの解説】
AMI（およびその基になる EBS スナップショット）は、既存の暗号化されていないものを「後からその場で暗号化」することはできません。暗号化は EBS スナップショット/ボリュームの作成・コピー時に指定するものだからです。
正しい手順は、暗号化されていない既存 AMI から「暗号化パラメータを指定して新たに暗号化済みの AMI を作成（CopyImage の Encrypted 指定など）」し、その暗号化済み AMI を宛先リージョンへコピーし、不要になった暗号化されていない AMI を削除することです。これにより全リージョンで暗号化要件を満たせます。

【誤りの選択肢】
B：KMS は暗号化に使う鍵を管理するサービスですが、「既存の暗号化されていない AMI をその場で暗号化する」という操作は存在しません。暗号化は新規作成・コピー時に行う必要があり、表現として誤りです。
C：ACM は TLS/SSL 証明書を管理するサービスで、AMI や EBS の暗号化とは全く無関係です。
D：暗号化されていない AMI をコピーしてからリージョンのデフォルト暗号化を有効にしても、すでにコピーされた AMI 自体は暗号化されません。デフォルト暗号化は「今後新規作成されるボリューム」に適用される設定であり、既存の暗号化されていない AMI を遡って暗号化するものではないため要件を満たしません。

【参考】
EBS の暗号化
AMI のコピー（暗号化指定）