AWS KMS

解決する課題

• データを暗号化したいが、鍵の管理が大変
• 鍵のアクセス制御・ローテーション・監査を統制したい
• 各サービスの暗号化を一元的に扱いたい

主要概念と用語

• KMSキー（CMK）: AWS管理キー / カスタマー管理キー
• エンベロープ暗号化: データキーで暗号化し、その鍵をKMSで暗号化
• キーポリシー / グラント: 鍵ごとのアクセス制御
• 自動ローテーション: 定期的に鍵を更新
• CloudHSM: 専用ハードウェアが必要な場合

仕様・制限・クォータ

• 各AWSサービスの「SSE-KMS」等と統合
• リージョン単位（マルチリージョンキーも可）
• API呼び出しに対するスロットリング上限

内部の仕組み

KMSはエンベロープ暗号化を使います。実データは高速なデータキーで暗号化し、そのデータキー自体をKMSのマスターキーで暗号化して保管。復号時はKMSにデータキーの復号を依頼します。鍵の利用はCloudTrailに記録され、誰がいつ復号したかを監査できます。

設計パターン / ベストプラクティス

• 統制が要るデータはSSE-KMS（監査・細かい制御が可能）
• カスタマー管理キー＋自動ローテーション
• キーポリシーで最小権限、用途別に鍵を分割

運用・監視・トラブルシュート

• 鍵の利用はCloudTrailで監査
• AccessDenied時はキーポリシー/IAM/グラントを確認
• スロットリング時はデータキーキャッシュを検討

コスト

• 鍵ごとの月額＋APIリクエスト課金
• データキーキャッシュでKMS呼び出しを削減

セキュリティ

• 最小権限のキーポリシー、用途分離
• 多リージョン要件はマルチリージョンキー
• FIPS/専用HW要件はCloudHSM

Well-Architected の観点

• セキュリティ: 保存データ保護・鍵管理・追跡可能性の中核

試験で問われるポイント

関連サービス・比較

ハンズオン / CLI例

# カスタマー管理キーを作成し自動ローテーションを有効化
aws kms create-key --description "app data key"
aws kms enable-key-rotation --key-id <key-id>

# S3バケットのデフォルト暗号化をSSE-KMSに
aws s3api put-bucket-encryption --bucket my-bucket \
  --server-side-encryption-configuration '{"Rules":[{"ApplyServerSideEncryptionByDefault":{"SSEAlgorithm":"aws:kms","KMSMasterKeyID":"<key-id>"}}]}'