での保管時の暗号化 ElastiCache

データの安全性を維持するために、Amazon ElastiCache と Amazon S3 では、キャッシュ内のデータへのアクセスを制限するさまざまな方法が用意されています。詳細については、Amazon VPC と ElastiCache のセキュリティおよびAmazon の Identity and Access Management ElastiCacheを参照してください。

ElastiCache 保管時の暗号化は、ディスク上のデータを暗号化することでデータセキュリティを強化する機能です。この機能はサーバーレスキャッシュでは常に有効になっています。有効にすると、次の要素が暗号化されます。

データ階層化が有効なクラスターの SSDs (ソリッドステートドライブ) に保存されているデータは常に暗号化されます。

ElastiCache は、保管時のデフォルトの (サービスマネージド) 暗号化と、 AWS Key Management Service (KMS） で独自の対称カスタマーマネージド AWS KMSキーを使用する機能を提供します。キャッシュをバックアップするときに、暗号化オプションで、デフォルトの暗号化キーを使用するか、カスタマー管理のキーを使用するかを選択します。詳細については、「保管時の暗号化を有効にする」を参照してください。

保管時の暗号化は、キャッシュに対してその作成時にのみ有効にできます。データの暗号化と復号を行うにはある程度の処理が必要であるため、保管時の暗号化を有効にすると、これらのオペレーションの実行中のパフォーマンスに影響を与える可能性があります。保管時の暗号化の使用時と未使用時でデータのベンチマークを取得して、ユースケースにおけるパフォーマンスの影響を判断する必要があります。

保管時の暗号化の条件

保管 ElastiCache 時の暗号化の実装を計画する際は、保管時の ElastiCache 暗号化に関する以下の制約事項に留意する必要があります。

保管時の暗号化を実装することで、バックアップオペレーションおよびノード同期オペレーションの実行中にパフォーマンスが低下する場合があります。自身のデータで保管時の暗号化使用時のベンチマークを暗号化なしの場合と比較して、実装におけるパフォーマンスの影響を判断してください。

からのカスタマーマネージドキーの使用 AWS KMS

ElastiCache は、保管時の暗号化に対称カスタマーマネージド AWS KMSキー (KMS キー) をサポートしています。カスタマーマネージドKMSキーは、 AWS アカウントで作成、所有、管理する暗号化キーです。詳細については、AWS KMS「 Key AWS Management Service デベロッパーガイド」の「 キー」を参照してください。キーは、 で使用する前に で AWS KMS作成する必要があります ElastiCache。

ルートキーの作成 AWS KMS方法については、「 Key AWS Management Service デベロッパーガイド」の「キーの作成」を参照してください。

ElastiCache を使用すると、 と統合できます AWS KMS。詳細については、AWS Key Management Service デベロッパーガイドの「付与の使用」を参照してください。Amazon と ElastiCache の統合を有効にするために、お客様のアクションは必要ありません AWS KMS。

kms:ViaService 条件キーは、 AWS KMS キー (KMS キー) の使用を、指定された AWS サービスからのリクエストに制限します。kms:ViaService で使用するには ElastiCache、条件キー値 elasticache.AWS_region.amazonaws.comと に両方の ViaService 名前を含めますdax.AWS_region.amazonaws.com。詳細については、kms:ViaService を参照してください。

を使用してAWS CloudTrail、Amazon がユーザーに代わって ElastiCache に送信する AWS Key Management Service リクエストを追跡できます。カスタマーマネージドキー AWS Key Management Service に関連する へのすべてのAPI呼び出しには、対応する CloudTrail ログがあります。また、 ListGrantsKMSAPI呼び出しを呼び出して が ElastiCache 作成する権限を確認することもできます。

カスタマー管理のキーを使用してレプリケーショングループが暗号化されると、レプリケーショングループのすべてのバックアップは以下のように暗号化されます。

保管時の暗号化を有効にする

すべてのサーバーレスキャッシュでは、保管時の暗号化が有効になっています。

独自設計型クラスターを作成する場合は、パラメータ AtRestEncryptionEnabled を true に設定することで保管時の暗号化を有効にできます。既存のレプリケーショングループ上で保管時の暗号化を有効にすることはできません。

ElastiCache キャッシュを作成するときに、保管時の暗号化を有効にできます。これを行うには AWS Management Console、、 AWS CLI、または を使用します ElastiCache API。

キャッシュを作成するときに、以下のオプションのいずれかを選択できます。

ルートキーの作成 AWS KMS方法については、「 Key Management Service デベロッパーガイド」の「キーの作成」を参照してください。 AWS

を使用した保管時の暗号化の有効化 AWS Management Console

を使用した保管時の暗号化の有効化 AWS CLI

を使用して Valkey または Redis OSSクラスターを作成するときに保管時の暗号化を有効にするには AWS CLI、レプリケーショングループを作成するときに --at-rest-encryption-enabled パラメータを使用します。

aws elasticache create-replication-group \
    --replication-group-id my-classic-rg \
    --replication-group-description "3 node replication group" \
    --cache-node-type cache.m4.large \
    --engine redis \    
    --at-rest-encryption-enabled \  
    --num-cache-clusters 3 

aws elasticache create-replication-group ^
    --replication-group-id my-classic-rg ^
    --replication-group-description "3 node replication group" ^
    --cache-node-type cache.m4.large ^
    --engine redis ^    
    --at-rest-encryption-enabled ^  
    --num-cache-clusters 3 ^

aws elasticache create-replication-group \
    --replication-group-id my-classic-rg \
    --replication-group-description "3 node replication group" \
    --cache-node-type cache.m4.large \
    --engine redis \    
    --at-rest-encryption-enabled \  
    --num-cache-clusters 3 

aws elasticache create-replication-group ^
    --replication-group-id my-classic-rg ^
    --replication-group-description "3 node replication group" ^
    --cache-node-type cache.m4.large ^
    --engine redis ^    
    --at-rest-encryption-enabled ^  
    --num-cache-clusters 3 ^

aws elasticache create-replication-group \
   --replication-group-id my-clustered-rg \
   --replication-group-description "redis clustered cluster" \
   --cache-node-type cache.m3.large \
   --num-node-groups 3 \
   --replicas-per-node-group 2 \
   --engine redis \
   --engine-version 6.2 \
   --at-rest-encryption-enabled \
   --cache-parameter-group default.redis6.x.cluster.on

aws elasticache create-replication-group ^
   --replication-group-id my-clustered-rg ^
   --replication-group-description "redis clustered cluster" ^
   --cache-node-type cache.m3.large ^
   --num-node-groups 3 ^
   --replicas-per-node-group 2 ^
   --engine redis ^
   --engine-version 6.2 ^
   --at-rest-encryption-enabled ^
   --cache-parameter-group default.redis6.x.cluster.on

aws elasticache create-replication-group \
   --replication-group-id my-clustered-rg \
   --replication-group-description "redis clustered cluster" \
   --cache-node-type cache.m3.large \
   --num-node-groups 3 \
   --replicas-per-node-group 2 \
   --engine redis \
   --engine-version 6.2 \
   --at-rest-encryption-enabled \
   --cache-parameter-group default.redis6.x.cluster.on

aws elasticache create-replication-group ^
   --replication-group-id my-clustered-rg ^
   --replication-group-description "redis clustered cluster" ^
   --cache-node-type cache.m3.large ^
   --num-node-groups 3 ^
   --replicas-per-node-group 2 ^
   --engine redis ^
   --engine-version 6.2 ^
   --at-rest-encryption-enabled ^
   --cache-parameter-group default.redis6.x.cluster.on

以下の資料も参照してください。