#エンベロープ暗号化

2026-07-15 ・ SAA（Solutions Architect Associate）攻略

SAA 暗号化設計の頻出パターン｜KMS・S3・EBS・RDS を「保管時／転送時」と「鍵の管理主体」で即断する

AWS SAA-C03 で暗号化は、配点30%の最重要ドメイン1（セキュアなアーキテクチャ）で毎回問われる中核テーマだ。本記事は暗号化設計問題を「どこを守るか（保管時 at rest／転送時 in transit）」「誰が鍵を管理するか（AWS 管理キー／カスタマー管理 CMK）」「どのサービスでどう有効化するか（S3・EBS・RDS の作法）」の頻出パターンに分解する。SSE-S3 と SSE-KMS の使い分け、エンベロープ暗号化、EBS/RDS は作成時にしか暗号化を有効化できずスナップショット経由で移行する罠、CloudTrail による復号監査、クロスリージョン・クロスアカウントのキーポリシー、TLS 強制（aws:SecureTransport）——要件文のどのキーワードが正解を一意に決めるかを示す。結論は「暗号化設計は暗記ではなく、保管時か転送時か・鍵を誰が握るか・どのサービスの作法かの3軸で解く」こと。