データ保護に使う暗号化キーを一元管理。AWS KMS をグラレコで解説

暗号化とは、機密データを第三者に読み取られないようにするために、解読不可能な状態に加工することです。暗号化処理には、暗号化用の固有の鍵を使用します。暗号化されたデータを元のデータに復号するには適切な鍵が必要になります。この固有の鍵を厳密に管理することで、不適切なアクセスに対してデータが開示されてしまうことを防ぎます。

暗号化においては、暗号化キーがどこで管理され、どこで使われ、誰が使用でき、どのようにセキュリティが確保されているかが重要です。KMS では、堅牢なシステムに複数の暗号化キーを一元管理し、権限を持ったユーザー以外のアクセスを制限します。さらに、多くの AWS サービスと統合しているため、複雑な操作をすることなく AWS サービス上のデータを保護する暗号化キーを簡単に作成、管理できる利便性の高さもサービスの特徴の一つです。

2022 年 9 月現在、KMS で提供している主な機能は以下のとおりです。

• KMS キーの生成と安全な保管
• KMS キー利用の権限管理
• KMS キー利用の監査
• 最大 4KB のデータ暗号化
• AWS サービスとの統合
• KMS キーのインポート

本記事では、KMS が提供する機能と特徴を以下の順で説明します。

1. KMS キー
2. ユーザー所有のキーのインポート
3. 自動キーローテーションと操作ログの監査
4. AWS サービス統合
5. エンベロープ暗号化
6. KMS の利用料金
   

KMS は、暗号化キーを作成、所有、管理するサービスです。ここでは KMS キーの種類と作成方法について説明します。

KMS キーは以下の 3 種類があります。

ユーザーが KMS を使って作成、所有、管理できる KMS キーはカスタマーマネージドキーで、AWS マネージドキーはキー ID や、キーのタイプ (対称キーあるいは非対称キー)、キーの仕様など、キーのメタデータの表示のみ可能です。AWS 所有のキーは、一部の AWS サービスが暗黙的にデータ暗号化に利用する KMS キーで、ユーザーが特に意識するものではありません。

KMS キーについて詳しくは、「カスタマーキーと AWS キー」をご覧ください。

KMS キーを作成する際には、キーマテリアルオリジンのタイプを選択する必要があります。KMS がサポートしているキーマテリアルオリジンは以下の 3 種類です。

通常は、KMS 上でキーマテルアルを含む KMS キーを作成・管理するキーマテリアルオリジン「KMS」を選択します。KMS 以外で生成したキーを使いたい場合、ユーザー所有のキーのインポートを前提とした「外部」、または AWS CloudHSM で管理しているキーを利用する「カスタムキーストア」を選択します。

AWS CloudHSM は、クラウドベースのハードウェアセキュリティモジュール (HSM) です。主に FIPS 140-2 Level 3 と呼ばれるコンプライアンス要件を満たすために利用されます。「カスタムキーストア」として AWS Cloud HSM を利用することで、このコンプライアンス要件を満たしながら、KMS を利用できます。

キーマテリアルオリジンについて詳しくは、「キーマテリアルのオリジン」をご覧ください。

KMS では、ユーザーが独自に作成した暗号化キーを KMS キーとしてインポートできます。この機能は、ユーザー所有のキーを KMS に持ち込むという意味で、Bring Your Own Key (BYOK) と呼ばれます。

KMS キーのインポート方法について詳しくは、「キーを AWS Key Management Service にインポートするにはどうすればよいですか ?」をご覧ください。

KMSは、悪意のある第三者による KMS キーへのアクセスを防止・監視するための機能や堅牢なシステムを備えています。
KMS で保存している KMS キーはエクスポートできないため、KMS がその耐久性の責任を負います。KMS では、KMS キーを 99.9999999% (イレブンナイン) の高耐久性を持つストレージで安全に保管します。また、キーポリシー や、IAM ポリシー、グラント などによるアクセス制御で不正アクセスを防ぐことができます。

ここでは、KMS キーを自動で更新する自動キーローテーションと、AWS CloudTrail による監査機能について説明します。

KMS は AWS CloudTrail と完全に統合しており、KMS へのすべての API コールのログを記録して Amazon S3 バケットに送信します。記録されるログ情報には、ユーザーの詳細、時間、日付、API アクション、関連する場合には使用されるキーが含まれます。誰がどのキーを、どのリソースで、いつ使用したかを監査できるため、KMS キーへの不適切な操作がないか確認できます。

AWS CloudTrail による操作ログの記録について詳しくは、「AWS KMS による AWS CloudTrail API 呼び出しのログ記録」をご覧ください。

KMSでは、KMS キーとカスタマーデータキー (CDK) の 2 種類の暗号化キーを使ってデータの暗号化・復号を行うエンベロープ暗号化という仕組みをサポートしています。

エンベロープ暗号化には、以下のような利点があります。

AWS サービス側でデータ暗号化処理を行うサーバーサイド暗号化の場合、自動でエンベロープ暗号化のプロセスが実行されます。一方、ユーザーのアプリケーション側でデータ暗号化処理を行うクライアントサイド暗号化の場合は、ユーザー自身が AWS Lambda などでエンベロープ暗号化のプロセスをアプリケーションに組み込む必要があります。

エンベロープ暗号化を使った暗号化プロセスは以下のとおりです。

暗号化されたデータを復号する際は、上記の手順で保管した暗号化データおよび暗号化 CDK と、KMS 上の暗号化 KMS キー を使います。エンベロープ暗号化について詳しくは、「エンベロープ暗号化」をご覧ください。

KMS は、管理している KMS キーの個数や API リクエストの頻度に合わせて自動的にスケールします。複数の暗号化キーの管理を KMS に一元化できるため、スケーラブルなキー管理インフラストラクチャを必要としている場合は、ライセンスコストと運用の負担を軽減できます。

KMS では、KMS キーのストレージ使用量と、KMS への API リクエストに対して従量課金で料金が発生します。

無料利用枠 (20,000 件のリクエスト/月) を超えた API リクエストに対して料金が発生します。

10,000 件のリクエストごとに 0.03 USD の利用料金がかかります。ただし、ECC GenerateDataKeyPair など一部の API リクエストには、10,000 件 / 月を超えるリクエストに 0.03 USD 以上のコストがかかることにご注意ください。詳しくは、「キーの使用量」をご覧ください。

KMS の利用料金について詳しくは、「AWS Key Management Service の料金」をご覧ください。

それでは最後に、本記事で紹介した機能の全体図を見てみましょう。