Amazon CloudWatch で KMS キーをモニタリングする

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon CloudWatch AWS KMS keys を使用して をモニタリングできます。Amazon CloudWatch は、 から raw データを収集し、ほぼリアルタイムの読み取り可能なメトリクス AWS KMS に処理する AWS サービスです。これらのデータは、履歴情報にアクセスして、時間の経過に伴う KMS キーの使用や変更に関する理解を深められるように 2 週間記録されます。

Amazon CloudWatch を使用すると、次に示すような重要なイベントのアラートを受け取ることができます。

リクエストレートがクォータ値の一定の割合に達したときに警告する Amazon CloudWatch アラームを作成することもできます。詳細については、 AWS セキュリティブログのService Quotas と Amazon CloudWatch を使用して AWS KMS API リクエストレートを管理する」を参照してください。

AWS KMS メトリクスとディメンション

AWS KMS は Amazon CloudWatch メトリクスを事前定義し、重要なデータのモニタリングとアラームの作成を容易にします。 AWS Management Console および Amazon CloudWatch API を使用して AWS KMS メトリクスを表示できます。

このセクションでは、各 AWS KMS メトリクスと各メトリクスのディメンションを一覧表示し、これらのメトリクスとディメンションに基づいて CloudWatch アラームを作成するための基本的なガイダンスを提供します。

AWS Management Console および Amazon CloudWatch API を使用して AWS KMS メトリクスを表示できます。詳細については、「Amazon CloudWatch ユーザーガイド」の「使用可能なメトリクスの表示」を参照してください。

SecondsUntilKeyMaterialExpiration

KMS キーにインポートされたキーマテリアルの有効期限が切れるまでの残り秒数です。このメトリクスは、インポートされたキーマテリアル (EXTERNAL のキーマテリアルのオリジン) と有効期限を持つ KMS キーに対してのみ有効です。

このメトリクスを使用して、インポートしたキーマテリアルの有効期限までの残り時間を追跡します。残り秒数が定義したしきい値を下回った場合は、新しい有効期限を使用してキーマテリアルを再インポートできます。この SecondsUntilKeyMaterialExpiration メトリクスは KMS キーに固有です。このメトリクスを使用して、複数の KMS キーや将来作成する可能性のある KMS キーを監視することはできません。このメトリクスをモニタリングする CloudWatch アラームの作成に関するヘルプについては、「インポートされたキーマテリアルの有効期限を通知する CloudWatch アラームを作成する」を参照してください。

このメトリクスで最も有用な統計は Minimum で、指定された統計期間のすべてのデータポイントの最小残り時間を示します。このメトリクスの唯一の有効な単位は Seconds です。

ディメンショングループ名: [Per-Key Metrics] (キーごとのメトリクス)

KMS キーのキー削除をスケジュールすると、 AWS KMS は KMS キーを削除する前に待機時間を強制します。待機期間を設定することで、KMS キーが不要であり、今後も使用しないことを確認できます。また、待機期間中に暗号化操作でユーザーまたはアプリケーションが KMS キーの使用を試みた場合に警告するよう、CloudWatch アラームを設定することもできます。このようなアラームから通知を受け取った場合は、KMS キーの削除をキャンセルする必要がある可能性があります。

手順については、削除待ち状態の KMS キーの使用を検出するアラームの作成 を参照してください。

CloudHSMKeyStoreThrottle

が AWS KMS スロットリングする ( と応答するThrottlingException) 各 AWS CloudHSM キーストアの KMS キーに対する暗号化オペレーションのリクエストの数。このメトリクスは AWS CloudHSM キーストアにのみ適用されます。

CloudHSMKeyStoreThrottle メトリクスは、 キーストアの AWS CloudHSM KMS キーと、暗号化オペレーションのリクエストにのみ適用されます。 AWS KMS は、リクエストレートがキーストアのカスタムキーストアリクエストクォータを超えたときに、これらのリクエストを調整します。 カスタムキーストアのリクエストクォータ AWS CloudHSM このメトリクスには、 AWS CloudHSM クラスターによるスロットリングも含まれます。

ディメンショングループ名: [Keystore Throttle Metrics] (キーストアスロットルメトリクス)

ExternalKeyStoreThrottle

が AWS KMS スロットリングする ( と応答するThrottlingException) 各外部キーストアの KMS キーに対する暗号化オペレーションのリクエストの数。このメトリクスは、外部キーストアにのみ適用されます。

ExternalKeyStoreThrottle メトリクスは、外部キーストアの KMS キーと、暗号化オペレーションのリクエストにのみ適用されます。 AWS KMS は、リクエストレートが外部キーストアのカスタムキーストアリクエストクォータを超えたときに、これらのリクエストを調整します。 カスタムキーストアのリクエストクォータこのメトリクスには、外部キーストアプロキシまたは外部キーマネージャーによるスロットリングは含まれていません。

このメトリクスを使用して、カスタムキーストアリクエストクォータの値を確認して調整します。このメトリクスが、 AWS KMS がこれらの KMS キーのリクエストを頻繁にスロットリングしていることを示している場合は、カスタムキーストアのリクエストクォータ値の増加をリクエストすることを検討してください。ヘルプについては、「Service Quotas ユーザーガイド」の「Requesting a quota increase」(クォータ引き上げのリクエスト) を参照してください。

「リクエストレートが極めて高いため」リクエストが拒否されたこと、または「外部キーストアプロキシが時間内に応答しなかったために」リクエストが拒否されたことを説明するメッセージで KMSInvalidStateException エラーが頻発する場合は、外部キーマネージャーまたは外部キーストアプロキシが現在のリクエストレートに対応していないことを示している可能性があります。可能な場合は、リクエスト率を下げます。また、カスタムキーストアのリクエストクォータ値の引き下げをリクエストすることも検討してください。このクォータ値を減らすと、スロットリング (および ExternalKeyStoreThrottleメトリクス値) が増加する可能性がありますが、 AWS KMS が余分なリクエストを外部キーストアプロキシまたは外部キーマネージャーに送信される前にすぐに拒否していることを示します。クォータの削減をリクエストするには、AWS Support センターにアクセスしてケースを作成してください。

ディメンショングループ名: [Keystore Throttle Metrics] (キーストアスロットルメトリクス)

XksProxyCertificateDaysToExpire

外部キーストアプロキシエンドポイント (XksProxyUriEndpoint) の TLS 証明書の有効期限が切れるまでの日数です。このメトリクスは、外部キーストアにのみ適用されます。

このメトリクスを使用して、TLS 証明書の有効期限切れが近づいていることを通知する CloudWatch アラームを作成します。証明書の有効期限が切れると、 AWS KMS は外部キーストアプロキシと通信できません。証明書が更新されるまで、外部キーストアの KMS キーで保護されているすべてのデータにアクセスできなくなります。

証明書アラームは、暗号化されたリソースへのアクセスを妨げる可能性のある証明書の有効期限切れを防ぎます。アラームを設定することで、組織は有効期限が切れる前に証明書を更新する時間をもつことができます。

ディメンショングループ名: [XKS Proxy Certificate Metrics] (XKS プロキシ証明書メトリクス)

外部キーストアと外部キーストアの KMS キーのメトリクスに基づいて CloudWatch アラームを作成できます。手順については、外部キーストアをモニタリングする を参照してください。

XksProxyCredentialAge

現在の外部キーストアのプロキシ認証情報 (XksProxyAuthenticationCredential) が外部キーストアに関連付けられてからの日数です。このカウントは、外部キーストアの作成または更新の一環として、認証情報を入力した時点から開始されます。このメトリクスは、外部キーストアにのみ適用されます。

この値は、認証情報の有効期限を知らせるためのものです。ただし、外部キーストアプロキシで認証情報を作成した時点ではなく、認証情報を外部キーストアに関連付けた時点からカウントが開始されるため、プロキシでの認証情報の経過時間の正確なインジケータではない場合があります。

このメトリクスを使用して、外部キーストアのプロキシ認証情報をローテーションするように通知する CloudWatch アラームを作成します。

ディメンショングループ名: [Per-Keystore Metrics] (キーストアごとのメトリクス)

外部キーストアと外部キーストアの KMS キーのメトリクスに基づいて CloudWatch アラームを作成できます。手順については、外部キーストアをモニタリングする を参照してください。

XksProxyErrors

外部キーストアプロキシへの AWS KMS リクエストに関連する例外の数。この数には、外部キーストアプロキシが に返す例外 AWS KMS と、外部キーストアプロキシが 250 ミリ秒のタイムアウト間隔 AWS KMS 内に応答しない場合に発生するタイムアウトエラーが含まれます。このメトリクスは、外部キーストアにのみ適用されます。

このメトリクスを使用して、外部キーストアの KMS キーのエラーレートを追跡します。最も頻発するエラーが明らかになるため、エンジニアリング作業に優先順位を付けることができます。例えば、再試行不可能なエラーの発生率が高くなっている KMS キーは、外部キーストアの設定に問題があることを示している可能性があります。外部キーストア設定を確認するには、「外部キーストアを表示する」を参照してください。外部キーストア設定を編集するには、「外部キーストアプロパティを編集する」を参照してください。

ディメンショングループ名: [XKS Proxy Error Metrics] (XKS プロキシエラーメトリクス)

外部キーストアと外部キーストアの KMS キーのメトリクスに基づいて CloudWatch アラームを作成できます。手順については、外部キーストアをモニタリングする を参照してください。

XksExternalKeyManagerStates

以下の各ヘルス状態 (Active、Degraded、Unavailable) における外部キーマネージャーインスタンス数のカウントです。このメトリクスの情報は、各外部キーストアに関連付けられた外部キーストアプロキシから取得されます。このメトリクスは、外部キーストアにのみ適用されます。

以下は、外部キーストアに関連付けられた外部キーマネージャーインスタンスのヘルス状態です。各外部キーストアプロキシは、外部キーマネージャーのヘルス状態を測定するために、異なるインジケータを使用する場合があります。詳細については、外部キーストアプロキシのドキュメントを参照してください。

このメトリクスを使用して、外部キーマネージャーインスタンスが劣化して使用できなくなったことを警告する CloudWatch アラームを作成します。各状態の外部キーマネージャーインスタンスを判断するには、外部キーストアプロキシログを参照してください。

ディメンショングループ名: [XKS External Key Manager Metrics] (XKS 外部キーマネージャーメトリクス)

外部キーストアと外部キーストアの KMS キーのメトリクスに基づいて CloudWatch アラームを作成できます。手順については、外部キーストアをモニタリングする を参照してください。

XksProxyLatency

外部キーストアプロキシが AWS KMS リクエストに応答するまでにかかるミリ秒数です。リクエストがタイムアウトした場合、記録される値は 250 ミリ秒のタイムアウト制限です。このメトリクスは、外部キーストアにのみ適用されます。

このメトリクスを使用して、外部キーストアプロキシと外部キーマネージャーのパフォーマンスを評価します。プロキシが暗号化オペレーションと復号オペレーションで頻繁にタイムアウトする場合は、外部プロキシ管理者に相談してください。

応答が遅い場合は、外部キーマネージャーが現在のリクエストトラフィックを処理できないことを示している場合もあります。 AWS KMS では、外部キーマネージャーが 1 秒あたり最大 1,800 件の暗号化オペレーションのリクエストを処理できることをお勧めします。外部キーマネージャーが 1 秒あたり 1,800 件のリクエストを処理できない場合は、カスタムキーストアの KMS キーリクエストクォータの引き下げをリクエストすることを検討してください。外部キーストアの KMS キーを使用した暗号化オペレーションのリクエストは、外部キーストアプロキシまたは外部キーマネージャーによって処理され、後で拒否されるのではなく、スロットリング例外でフェイルファストします。

ディメンショングループ名: [XKS Proxy Latency Metrics] (XKS プロキシレイテンシーメトリクス)

外部キーストアと外部キーストアの KMS キーのメトリクスに基づいて CloudWatch アラームを作成できます。手順については、外部キーストアをモニタリングする を参照してください。