ある企業が AWS 上で機密性の高い財務データを処理するアプリケーションを設計しています。データは処理中（メモリ上）でも暗号化されたままにする必要があり、データを処理するアプリケーションコードが悪意ある内部者や侵害されたインスタンスからアクセスできないようにしたいと考えています。いわゆる「Confidential Computing（機密コンピューティング）」の要件です。AWS でこれを実現するには、どのサービスが最も適切ですか？
- A. AWS CloudHSM でハードウェアセキュリティモジュールを使用し、データを HSM 内で処理する
- B. VPC のプライベートサブネットで処理を実行し、セキュリティグループで外部アクセスを遮断する
- C. AWS KMS でデータを暗号化し、KMS キーポリシーでアクセスを制限する
- D. AWS Nitro Enclaves を使用して、メインの EC2 インスタンスからも分離された独立したコンピューティング環境（Enclave）でデータ処理を実行する。Nitro Enclave にはネットワーク接続がなく、永続ストレージもなく、外部からのアクセスが不可能なため、機密データの処理をメインインスタンスや他のプロセスから完全に隔離できる
解答と解説を見る
正解: D
AWS Nitro Enclaves は EC2 インスタンスから独立した隔離されたコンピューティング環境（TEE: Trusted Execution Environment）を提供します。Enclave はネットワークインターフェース、永続ストレージ、対話型アクセス（SSH）がなく、親インスタンスからも内部のプロセスやデータにアクセスできません。機密データを Enclave に送り込み、処理結果のみを外部に返すことで、処理中のデータを完全に保護します。 C: KMS は暗号化・復号のキー管理に優れますが、復号されたデータが EC2 のメモリ上にある状態では、メモリへのアクセス権を持つ内部者から保護できません。 B: VPC のプライベートサブネットはネットワークレベルの分離を提供しますが、同一インスタンス上の他のプロセスや権限を持つ内部者からのメモリアクセスを防ぐことはできません。 A: CloudHSM はキー管理と暗号処理の HSM としては優れていますが、汎用的なアプリケーションデータ処理（財務計算等）を HSM 内で実行するためには設計されていません。
📚 関連サービスの解説: Amazon EC2