変更要約: in-scope サービス網羅: ネットワーク境界・防御(VPC/PrivateLink/WAF/Shield)を追加
4.1データの暗号化とアクセス制御
保管時/転送時の暗号化（KMS・TLS）、IAM とバケットポリシーによる最小権限のアクセス制御、Macie による機密データの検出・分類とマスキングを理解します。DEA-C01 の「データセキュリティとガバナンス」の出発点です。
データ基盤では、暗号化・アクセス制御・機密データの保護が必須です。AWS では KMS・IAM・Macie が中心的な役割を果たします。
4.1.1暗号化・アクセス・分類
- 暗号化：保管時は KMS（S3/EBS/RDS）、転送時は TLS。鍵は集中管理し監査する。
- アクセス制御：IAM の最小権限とバケットポリシーで「誰が何にアクセスできるか」を制御。キーでなくロールを使う。
- 検出と分類：Amazon Macie が S3 内の PII を発見・分類。必要に応じてマスキング/トークン化する。
「保管時の暗号化＝KMS」「機密データ（PII）の発見・分類＝Macie」「最小権限のアクセス＝IAM/バケットポリシー」「機密列の保護＝マスキング/トークン化」 は DEA で頻出です。
データ保護は「暗号化・アクセス制御・機密分類」を多層で重ねます。保管時暗号化 は KMS（S3 は SSE-S3/SSE-KMS、EBS/RDS/Redshift も有効化）で行い、誰がどの鍵で復号できるかを鍵ポリシー＋IAM で制御、利用は CloudTrail で監査します。転送時 は TLS を強制（S3 はバケットポリシーで aws:SecureTransport を要求）。アクセス制御 は IAM の最小権限＋リソースベース（バケットポリシー）で、長期キーを置かず ロール（一時認証情報） を使います。データレイク全体の権限は次節の Lake Formation で一元化します。機密データ は Amazon Macie が S3 の PII を機械学習で発見・分類し、保護策として マスキング/トークン化（Glue の変換や Redshift の動的データマスキング・カラム暗号化）を適用します。鍵管理は要件に応じ AWS マネージドキー / カスタマーマネージドキー（CMK）、シークレットは Secrets Manager を使い、コードや環境変数に平文を置きません。
| 保護したいもの | 手段 |
|---|---|
| 保管時のデータ | KMS（SSE-KMS 等） |
| 通信（転送時） | TLS（SecureTransport 強制） |
| アクセス権限 | IAM 最小権限＋ロール |
| 機密データ（PII） | Macie で検出→マスキング/トークン化 |
シナリオ：データレイクに個人情報が紛れていないか確認し、保護したい。 Macie で S3 をスキャンして PII を発見・分類。該当列は Glue でマスキング/トークン化してから curated 層へ。保管は SSE-KMS、通信は TLS 強制、アクセスは IAM 最小権限＋ロール。鍵の利用と誰がアクセスしたかは CloudTrail で監査します。
Q. 保管時暗号化の鍵は？ KMS。Q. PII の発見・分類？ Macie。Q. 機密列の保護？ マスキング/トークン化。Q. アクセスのベストプラクティス？ IAM 最小権限＋ロール（キー埋め込み禁止）。Q. 通信の暗号化を強制？ バケットポリシーで SecureTransport 要求。
混同に注意：
①Macie＝機密データの発見/分類で、暗号化（KMS）やアクセス制御（IAM）とは役割が別。
②保管時暗号化を有効化してもアクセス制御は別途必要（暗号化≠認可）。
③長期アクセスキーの埋め込みは厳禁——ロールを使う。
④暗号化は転送時と保管時の両方を押さえる（片方だけでは不十分）。
Glue ジョブや Redshift などデータパイプライン各所で、転送時/保管時の暗号化を有効化し、最小権限のロールで実行するのがベストプラクティスです。
4.1.2ネットワーク境界・防御の in-scope サービス
データパイプラインのネットワーク境界も保護対象です。すべてのリソースは Amazon VPC の中に配置してサブネット/ルーティング/セキュリティグループで分離し、外部のデータストアや別アカウントのサービスへは AWS PrivateLink（インターフェイスエンドポイント）でインターネットを経由せずプライベートに接続します（S3/KMS への VPC エンドポイント経由のアクセスは、データ流出経路を絞る定番）。 公開する分析 API やエンドポイント（API Gateway/ALB の前段）は、AWS WAF で SQLi/XSS 等の L7 Web 攻撃をルールでフィルタし、AWS Shield で DDoS から保護します（Shield Advanced は高度な緩和と対応サポートを提供）。これらは暗号化（KMS/TLS）や最小権限（IAM）と組み合わせ、多層防御でデータを守ります。
4.1.3この節のまとめ
- 暗号化（KMS/TLS）／最小権限（IAM）／機密分類（Macie）
- 機密フィールドはマスキング/トークン化
- ネットワーク境界＝VPC/PrivateLink、公開防御＝WAF（Web攻撃）/Shield（DDoS）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. S3 内に保管された個人情報（PII）を機械学習で発見・分類したい。最も適したサービスはどれですか？
Q2. S3 や Redshift の保管時暗号化に使う鍵を一元管理するサービスはどれですか？
Q3. データへのアクセス制御のベストプラクティスとして最も適切なものはどれですか？