SOA-C03 練習問題 14

ある企業が自社の Amazon S3 バケットに対してクロスリージョンレプリケーション（CRR）を実装しています。S3 バケットは us-east-1 リージョンにあります。同社はバケット内のデータを保護するために、Amazon S3 マネージドキーによるサーバー側暗号化（SSE-S3）を使用しています。 CloudOps エンジニアは、バックアップを S3 バケットに保存するための新しい AWS アカウントを作成します。すべてのバックアップ用バケットは us-west-2 リージョンにあります。CloudOps エンジニアはソースバケットと宛先バケットの両方でバージョニングを有効にします。CloudOps エンジニアはソースアカウントで s3.amazonaws.com 用の IAM ロールを作成します。CloudOps エンジニアはその IAM ロールに、ソースバケットでの読み取りアクション、宛先バケットでのレプリケートアクション、および宛先バケットのキーを使用する暗号化アクションを実行する権限を付与します。宛先バケットのポリシーは、その IAM ロールがレプリケートおよび読み取りアクションを実行することを許可しています。 レプリケーション構成が完了した後、CloudOps エンジニアはオブジェクトがレプリケートされていないことに気づきます。 オブジェクトがレプリケートされない可能性が高い理由はどれですか？

【正解】D

【0からの解説】
ここでの最大の手がかりは、CloudOps エンジニアが IAM ロールに「宛先バケットのキーを使用する暗号化アクション（KMS の Encrypt 等）」を付与した、という記述です。これは宛先側が KMS キー（SSE-KMS）で暗号化されていることを前提とした権限設定です。
ところがソースバケットは SSE-S3（S3 マネージドキー）を使用しています。レプリケーション構成と権限が「宛先は KMS キーで暗号化する」前提で組まれているのに、宛先バケットが SSE-KMS で構成されていなければ、設定の整合が取れずレプリケーションが期待どおり機能しません。したがって宛先バケットを SSE-KMS で構成する必要がある、というのが最も妥当な理由です。
S3 レプリケーションでは、KMS で暗号化されたオブジェクトを扱う場合、レプリケーションロールにソースキーの kms:Decrypt と宛先キーの kms:Encrypt を付与し、宛先を SSE-KMS にするのが定石です。

【誤りの選択肢】
A：ObjectOwnerOverrideToBucketOwner は、クロスアカウントで宛先バケット所有者にオブジェクト所有権を移すための任意設定です。これが無くてもレプリケーション自体は動作するため、「レプリケートされない」直接の原因ではありません。
B：マルチリージョンキー（MRK）はレプリケーションの必須要件ではありません。各リージョンで個別の KMS キーを使ってもレプリケーションは可能です。
C：S3 レプリケーションは AWS のマネージドサービス間でリージョンをまたいで行われ、VPC のゲートウェイエンドポイントは不要です。エンドポイントは VPC 内リソースから S3 へのプライベート接続用で、本件とは無関係です。

【参考】
KMS で暗号化されたオブジェクトのレプリケーション
レプリケーションの設定とトラブルシューティング