AWS KMSとは

目次

1.KMSとは

KMS（Key Management Service）は、暗号化などに使う鍵を作成・保護し、利用権限を管理するAWSのサービスです。

金庫に例えると、データは書類、暗号化は金庫に入れること、暗号鍵は金庫の鍵です。KMSは、その鍵を厳重に管理する仕組みに当たります。

2.基本用語

AWS管理のキーとカスタマーマネージドキー

AWS管理のキーはAWSサービスが作成・管理します。カスタマーマネージドキーは利用者が作成し、キーポリシーや有効・無効などを管理できます。

KMSで管理される「AWS管理のキー」と、下記のSSE-S3で使う「S3管理のキー」は区別が必要です。

3.データを守る仕組み

S3のSSE-KMSなどでは、データを暗号化する鍵を、KMSキーでさらに保護する「エンベロープ暗号化」を使います。

データキーの役割

KMSキーの役割

1. S3がKMSにデータキーの生成を依頼する。
2. S3が平文のデータキーでファイルを暗号化する。
3. S3が暗号化済みファイルと暗号化済みデータキーを保存し、平文のデータキーをメモリから削除する。
4. 読み出し時は、権限を確認したうえでKMSにデータキーの復号を依頼し、S3がファイルを復号して返す。

上記はS3の基本的な説明です。S3バケットキーを有効にした場合は、KMSへのリクエストを減らす仕組みが加わります。

4.簡単な使用例：S3のファイルを保護する

例：社内資料の sample.txt を、指定したKMSキーで保護してS3に保存します。 検証用バケットと、小さなテストファイルを使う想定です。

① KMSキーを用意する

1. AWSコンソールで「KMS」を開き、S3バケットと同じリージョンを選ぶ。
2. 「カスタマーマネージドキー」からキーを作成する。
3. キーのタイプは「対称」、使用法は「暗号化および復号」を選ぶ。
4. エイリアスを demo-s3-key とし、キー管理者・キー利用者を設定する。

キー利用者には、アップロードやダウンロードを行うIAMユーザー・IAMロールを指定します。鍵の管理者と利用者は役割が異なります。

② S3のアップロード画面で指定する

1. S3で検証用バケットを開き、sample.txt のアップロードを開始する。
2. アップロード画面の「プロパティ」などにあるサーバー側の暗号化設定を開く。
3. バケットのデフォルト設定を上書きし、暗号化タイプとして SSE-KMS を選ぶ。
4. 作成したKMSキーを指定してアップロードする。
5. 保存したオブジェクトの「プロパティ」で、SSE-KMSとKMSキーのARNを確認する。

画面の表記・配置は変更される場合があります。バケットのデフォルト暗号化にSSE-KMSを設定する方法もあります。

③ ダウンロードする

権限のある利用者が通常どおりダウンロードすると、S3が復号してファイルを返します。ダウンロード後のファイル自体が、引き続きKMSで暗号化されているわけではありません。

必要な権限の考え方

マルチパートアップロードでは、KMS側に両方の権限が必要です。実際の許可はIAMポリシー、キーポリシー、バケットポリシーなどの組み合わせで決まります。

参考：AWS CLIでアップロードする例

AWS CLIの認証と必要な権限が設定済みで、カレントフォルダーに sample.txt がある場合の例です。キーとバケットは東京リージョンにある想定です。

aws s3 cp sample.txt s3://YOUR-TEST-BUCKET/sample.txt --sse aws:kms --sse-kms-key-id alias/demo-s3-key --region ap-northeast-1

Windowsのコマンドプロンプト・PowerShellでも1行で実行できます。同名オブジェクトがある場合は上書きされ、バージョニング有効時は新バージョンになります。

5.混同しやすい点と注意点

関連の記事

AWS S3アクセスログとは