翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS KMS keys

独自の暗号化アプリケーションで使用するために作成および管理されるKMSキーは、カスタマーマネージドキー と呼ばれるタイプです。カスタマーマネージドキーは、 KMS キーを使用して AWS サービスがユーザーに代わって保存するデータを暗号化するサービスと組み合わせて使用することもできます。カスタマーマネージドキーは、使用するキーのライフサイクルと用途を完全にコントロールしたいお客様にお勧めします。アカウント内でカスタマーマネージドキーを使用する場合、月額料金が発生します。さらに、キーの使用および管理のリクエストにも、使用コストが発生します。詳細については、「AWS Key Management Service の料金」を参照してください。

顧客が AWS サービスを暗号化したいが、キー管理のオーバーヘッドを望まず、キーの支払いを望まない場合があります。AWS マネージドキー はアカウントに存在するKMSキーですが、特定の状況でのみ使用できます。具体的には、運用している AWS サービスのコンテキストでのみ使用でき、キーが存在するアカウント内のプリンシパルのみが使用できます。これらのキーのライフサイクルやアクセス許可については、お客様は一切管理することができません。 AWS サービスで暗号化機能を使用すると、 AWS マネージドキー「aws<service code>」という形式のエイリアスを使用する場合があります。例えば、aws/ebsキーはEBSボリュームの暗号化にのみ使用でき、キーと同じアカウントのIAMプリンシパルが使用するボリュームにのみ使用できます。アカウント内のリソースに対して、アカウントのユーザーのみが使用できるように AWS マネージドキー スコープダウンされている を考えてください。で暗号化されたリソース AWS マネージドキー を他のアカウントと共有することはできません。 AWS マネージドキー はアカウント内に無料で存在できますが、このキータイプの使用は、キーに割り当てられた AWS サービスによって課金されます。

AWS マネージドキー は、2021 年の時点で新しい AWS サービス用に作成されなくなったレガシーキータイプです。代わりに、新しい (およびレガシー) AWS サービスは、 と呼ばれるものを使用してAWS 所有のキー、デフォルトで顧客データを暗号化します。 AWS 所有のキー は、 AWS サービスによって管理されるアカウントにあるKMSキーであるため、サービスオペレーターはライフサイクルと使用許可を管理できます。を使用することで AWS 所有のキー、 AWS サービスは透過的にデータを暗号化し、キーアクセス許可を心配することなく、クロスアカウントまたはクロスリージョンでデータを簡単に共有できます。は、より簡単で自動化されたデータ保護を提供するワークロード AWS 所有のキー に使用します encryption-by-default。これらのキーは によって所有および管理されるため AWS、その存在や使用状況に対して課金されず、ポリシーを変更したり、これらのキーのアクティビティを監査したり、削除したりすることはできません。コントロールを重視される場合にはカスタマーマネージドキーを使用し、利便性を重視される場合は AWS 所有のキー をご利用ください。

作成するKMSキーはカスタマーマネージドキー です。 KMS キーを使用してサービスリソースを暗号化 AWS のサービス すると、多くの場合、キーが作成されます。KMS AWS アカウントで AWS のサービス を作成するキーは ですAWS マネージドキー。KMS サービスアカウントで AWS のサービス を作成するキーは ですAWS 所有のキー。

AWS と統合される サービスは AWS KMS、KMSキーのサポートが異なります。一部の AWS サービスは、デフォルトで AWS 所有のキー または でデータを暗号化します AWS マネージドキー。一部の AWS サービスは、カスタマーマネージドキーをサポートしています。他の AWS サービスは、 の使いやすさ AWS 所有のキー、 の可視性 AWS マネージドキー、またはカスタマーマネージドKMSキーの制御を可能にするすべてのタイプのキーをサポートしています。 AWS サービスが提供する暗号化オプションの詳細については、 ユーザーガイドまたは サービスのデベロッパーガイドの保管時の暗号化トピックを参照してください。

カスタマーマネージドキー

作成するKMSキーはカスタマー管理キー です。カスタマーマネージドキーは、 AWS アカウント で作成、所有、管理するKMSキーです。KMS キーポリシー、IAMポリシー、および許可の確立と維持、有効化と無効化、暗号化マテリアルのローテーション、タグの追加、KMSキーを参照するエイリアスの作成、KMSキーの削除スケジュールなど、これらのキーを完全に制御できます。

カスタマーマネージドキーは、 AWS KMSの AWS Management Console のカスタマーマネージドキーページに表示されます。カスタマーマネージドキーを完全に識別するには、 DescribeKeyオペレーションを使用します。カスタマーマネージドキーでは、DescribeKey レスポンスの KeyManager フィールドの値は CUSTOMER です。

暗号化オペレーションでカスタマーマネージドキーを使用し、 AWS CloudTrail ログでその使用を監査できます。さらに、AWS KMSと統合されている多数のAWS のサービスを使用すると、カスタマーマネージドキーを指定して保存および管理するデータを保護できます。

カスタマーマネージドキーの使用には、月額料金と、無料利用枠を超えた使用に対する料金がかかります。アカウントの AWS KMS クォータに対してカウントされます。詳細については、「AWS Key Management Service 料金表」および「クォータ」を参照してください。

AWS マネージドキー

AWS マネージドキー は、 AWS と統合されたサービス AWS KMSによってユーザーに代わって作成、管理、使用されるアカウントのKMSキーです。

一部の AWS サービスでは、 AWS マネージドキー またはカスタマーマネージドキーを選択して、そのサービス内のリソースを保護します。一般的に、リソースを保護する暗号化キーを制御する必要がある場合を除き、 AWS マネージドキー が適しています。キーまたはそのキーポリシーを作成または維持する必要はなく、 AWS マネージドキーの月額料金はまったく発生しません。

アカウント内の を表示 AWS マネージドキーし、キーポリシー を表示し、 AWS CloudTrail ログでの使用を監査するアクセス許可があります。ただし、 のプロパティを変更 AWS マネージドキーしたり、ローテーションしたり、キーポリシーを変更したり、削除をスケジュールしたりすることはできません。また、暗号化オペレーション AWS マネージドキー で を直接使用することはできません。それらを作成するサービスは、ユーザーに代わってそれらを使用します。

組織内のリソースコントロールポリシーは、 には適用されません AWS マネージドキー。

AWS マネージドキー は、 AWS Management Console の AWS マネージドキーページに表示されます AWS KMS。また、 aws/service-nameなどの形式 を持つエイリアス AWS マネージドキー で識別することもできますaws/redshift。を明確に識別するには AWS マネージドキー、 DescribeKeyオペレーションを使用します。 AWS マネージドキーの場合、DescribeKey レスポンスの KeyManager フィールドの値は AWS です。

すべて AWS マネージドキー は毎年自動的にローテーションされます。このローテーションスケジュールは変更できません。

の月額料金はかかりません AWS マネージドキー。無料利用枠を超える使用には料金がかかる場合がありますが、一部の AWS サービスではこれらの料金がお客様に負担されます。詳細については、サービスのユーザーガイドまたはデベロッパーガイドの「保管時の暗号化 」トピックを参照してください。詳細については、「AWS Key Management Service の料金表」を参照してください。

AWS マネージドキー アカウントの各リージョンのKMSキー数のリソースクォータにはカウントされません。ただし、アカウントのプリンシパルに代わって使用する場合、KMSキーはリクエストクォータに対してカウントされます。詳細については、「クォータ」を参照してください。

AWS 所有のキー

AWS 所有のキー は、 AWS サービスが複数の で使用するために所有および管理しているKMSキーのコレクションです AWS アカウント。 AWS 所有のキー は にはありませんが AWS アカウント、 AWS サービスは AWS 所有のキー を使用して アカウントのリソースを保護することができます。

一部の AWS サービスでは、 AWS 所有のキー またはカスタマーマネージドキーを選択できます。通常、リソースを保護する暗号化キーを監査または制御する必要がない限り、 AWS 所有のキー は適切な選択です。 AWS 所有のキー は完全に無料 (月額料金や使用料なし) で、アカウントのAWS KMS クォータにはカウントされず、簡単に使用できます。キーまたはそのキーポリシーを作成または管理する必要はありません。

のローテーションはサービス AWS 所有のキー によって異なります。特定の のローテーションの詳細については AWS 所有のキー、 サービスのユーザーガイドまたはデベロッパーガイドの「保管時の暗号化」トピックを参照してください。

AWS KMS key 階層

キー階層は、最上位の論理キーである から始まります AWS KMS key。KMS キーは最上位のキーマテリアルのコンテナを表し、Amazon リソースネーム () を使用してサービス名前空間内で AWS 一意に定義されますARN。には、一意に生成されたキー識別子、キー ID ARNが含まれます。 KMS キーは、 を通じてユーザーが開始したリクエストに基づいて作成されます AWS KMS。受信時に、 はキーKMSコンテナに配置する初期HSMバッキングキー (HBK) の作成 AWS KMS を要求します。HBK はドメインHSM内の で生成され、プレーンテキストHSMで からエクスポートされないように設計されています。代わりに、 HBKは HSMマネージドドメインキーで暗号化されてエクスポートされます。エクスポートされたこれらのキートークンHBKsは、エクスポートされたキートークン () と呼ばれますEKTs。

EKT は、耐久性が高く低レイテンシーのストレージにエクスポートされます。例えば、論理KMSキーARNに を受け取ったとします。これは、キー階層、つまり暗号化コンテキストの最上位を表します。アカウント内に複数のKMSキーを作成し、他の AWS 名前付きリソースと同様にKMSキーにポリシーを設定できます。

特定のKMSキーの階層内では、 をKMSキーのバージョンと見なHBKすことができます。KMS キーを でローテーションする場合 AWS KMS、新しい HBK が作成され、KMSキーのアクティブとしてKMSキーに関連付けられHBKます。古い HBKsは保持され、以前に保護されたデータを復号化して検証するために使用できます。ただし、新しい情報を保護するために使用できるのはアクティブな暗号化キーだけです。

キーを使用して情報KMSを直接保護 AWS KMS するように からリクエストしたり、キーで保護されている追加の HSM生成KMSキーをリクエストしたりできます。これらのキーは、カスタマーデータキー、または と呼ばれますCDKs。CDKs は、暗号文 (CT)、プレーンテキスト、またはその両方として暗号化して返すことができます。KMS キーで暗号化されたすべてのオブジェクト (お客様が用意したデータまたは HSMが生成したキー) は、 からの呼び出しHSMを介してのみ復号できます AWS KMS。

返された暗号文、または復号されたペイロードは、 内に保存されません AWS KMS。情報は、 TLSへの接続を通じて返されます AWS KMS。これは、ユーザーに代わって AWS サービスによって行われた呼び出しにも適用されます。

次の表に、キーの階層と特定のキープロパティを示します。

¹ AWS KMS ドメイン管理および設定タスクを考慮して、ドメインキーのローテーションを最大週 1 回まで緩和する場合がある。

² AWS KMS お客様に代わって によって AWS マネージドキー 作成および管理されるデフォルトは、毎年自動的にローテーションされます。

キー識別子 (KeyId）

キー識別子はKMS、キーの名前のように動作します。コンソールでKMSキーを認識するのに役立ちます。これらを使用して、 AWS KMS APIオペレーション、KMSキーポリシー、IAMポリシー、および許可で使用するキーを指定します。キー識別子の値は、KMSキーに関連付けられたキーマテリアルとは完全に無関係です。

AWS KMS は、いくつかのキー識別子を定義します。KMS キーを作成すると、 はキーのプロパティであるキーARNとKMSキー ID AWS KMS を生成します。エイリアスを作成すると、 は定義したエイリアス名ARNに基づいてエイリアス AWS KMS を生成します。キー識別子とエイリアス識別子は、 AWS Management Console および で表示できます AWS KMS API。

AWS KMS コンソールでは、KMSキー 、キー IDARN、またはエイリアス名でキーを表示およびフィルタリングし、キー ID とエイリアス名でソートできます。コンソールでキー ID を検索する方法については、「キー ID とキー ARN を検索する」を参照してください。

では AWS KMS API、KMSキーの識別に使用するパラメータに名前が付けられTargetKeyId、 KeyId や などのバリエーションが付けられますDestinationKeyId。ただし、これらのパラメータの値はキー に限定されませんIDs。いくつかは、任意の有効なキー識別子を受け取ることができます。各パラメータの値の詳細については、 リファレンスのパラメータの説明 AWS Key Management Service APIを参照してください。

AWS KMS は、次のキー識別子をサポートしています。