AWS KMS リクエストのスロットリング - AWS Key Management Service

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS KMS リクエストのスロットリング

AWS KMS はすべてのお客様からの API リクエストに迅速で信頼性の高いレスポンスを確実に返すために、特定の境界を超える API リクエストを制御します。

スロットリングは、AWS KMS が拒否しなければ有効となってしまうリクエストを拒否して、次のような ThrottlingException エラーを返すときに発生します。

You have exceeded the rate at which you may call KMS. Reduce the frequency of your calls. 
(Service: AWSKMS; Status Code: 400; Error Code: ThrottlingException; Request ID: <ID>

AWS KMS は、次の条件に対するリクエストを制御します。

  • アカウントおよびリージョンの、1 秒あたりのリクエストレートが AWS KMS リクエストクォータを超えている。

    例えば、アカウントのユーザーが 1 秒に 1,000 DescribeKey リクエストを送信する場合、AWS KMS はその後の DescribeKey リクエストすべてを制御します。

    スロットリングに対応するには、バックオフと再試行戦略を使用します。この戦略は、一部の AWS SDK で、HTTP 400 エラー用に自動的に実装されています。

  • 同じ KMS キーステータスを変更するための、リクエストのバーストレートまたは持続的な高いレート。多くの場合、この条件は「ホットキー」と呼ばれます。

    例えば、アカウント内のアプリケーションが同じ KMS キーに対して、持続的かつ一斉に EnableKey および DisableKey リクエストを送信した場合、AWS KMS はリクエストを制御します。このスロットリングは、リクエストが EnableKey および DisableKey オペレーションの 1 秒あたりのリクエスト制限を超えていない場合にも発生します。

    スロットリングに対応するには、アプリケーションロジックを調整して必要なリクエストのみを作成するか、複数の関数のリクエストを統合します。

  • AWS CloudHSM キーストアに関連付けられた AWS CloudHSM クラスターが、AWS CloudHSM キーストアに関係のないものを含む複数のコマンドを処理している場合、AWS CloudHSM キーストアの KMS キーに対するオペレーションリクエストは、予想より低い割合に調整される可能性があります。

    (AWS KMS では、AWS CloudHSM クラスターで使用可能な PKCS #11 セッションがない場合、AWS CloudHSM キーストア内の KMS キーに対するオペレーションリクエストを調整しなくなりました。その代わりに、KMSInternalException がスローされます。リクエストを再試行することを推奨します)。

リクエストレートのトレンドを表示するには、Service Quotas コンソールを使用してください。リクエストレートがクォータ値の一定の割合に達したときに警告する Amazon CloudWatch アラームを作成することもできます。詳細については、AWS Security Blog の「Manage your AWS KMS API request rates using Service Quotas and Amazon CloudWatch」(Service Quotas と Amazon CloudWatch を使用して API リクエストレートを管理する) を参照してください。

すべての AWS KMS クォータは、オンデマンドローテーションリソースクォータとAWS CloudHSM キーストアのリクエストクォータを除いて調整可能です。クォータの引き上げをリクエストするには、「Service Quotas ユーザーガイド」の「クォータ引き上げリクエスト」を参照してください。クォータの引き下げリクエスト、Service Quotas に一覧表示されていないクォータの変更、AWS KMS の Service Quotas を使用できない AWS リージョン のクォータの変更を行うには、AWS Support センターにアクセスしてケースを作成します。

注記

AWS KMS カスタムキーストアのリクエストクォータは、Service Quotas コンソールに表示されません。Service Quotas API オペレーションを使用して、これらのクォータを表示または管理することはできません。外部キーストアのリクエストクォータへの変更をリクエストするには、AWS Support センターにアクセスしてケースを作成します。