「AWS Black Belt Online Seminar AWS Key Management Service (AWS KMS)」レポート

菊池修治

2016.09.29

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、菊池です。

先週に引き続き、2016年9月28日（水）のAWS Black Belt Online Seminarを受講しましたので、レポートします。

今回は暗号化で使用する鍵の作成と管理をサービスする、AWS Key Management Service (KMS)についてで、講師はAWSJソリューションアーキテクトの布目さんでした。

AWS Black Belt Online Seminar 2016 AWS Key Management Service from Amazon Web Services Japan

AWS Key Management Service (KMS) とは

アジェンダは以下の通りでした。

KMS概要
KMSの暗号鍵管理
KMSの暗号化処理
KMS利用TIPS
ログ、HSMとの比較、制限、料金等
まとめ

KMSの概要

暗号化によるデータ保護の対象は2つ

通信の暗号化
保管データの暗号化　<- KMSはこちらを対象にしている

暗号化の鍵管理においては、どこに保管するか/どこで使われるか/誰が使えるか、の考慮が必要であり、その管理にKey Management Infrastrucure (KMI)が用いられる。

KMIは鍵の保管と管理を担う。

AWS KMS は上記モデルCに該当
Cloud HSM はモデルBに該当

AWS Key Management Serviceの特徴

暗号鍵の作成、管理、運用を行うマネージメントサービス
S3、EBSなどのAWSサービスと統合
SDKで独自アプリケーションのデータ暗号化も可能
AWS CloudTrailと連動した監査

KMSで使用する用語

Customer Master Key (CMK)：ヒエラルキーの頂点に位置するKMS内の鍵で、外部エクスポート不可
Customer Data Key (CDK)：CMKから生成される暗号鍵で、実際のデータ暗号化に使用する
Envelope Encryption：マスターキーを使用せず、データキーを暗号化/復号化に利用する

2階層モデル

CMKから生成されたCDKでデータを暗号化
CMKで暗号化したCDKをデータと一緒に保管する
復号化時：CMKで復号化したCDKでデータを復号化する

KMSでできないこと

シングルテナント
非対称鍵暗号（公開鍵暗号化はできない）
4KB超のデータの直接暗号化
鍵のエクスポート

主要なKMS API

鍵管理用APIとデータ（暗号化/復号化）APIに分類される。

KMSの暗号鍵管理

KMSの鍵管理機能

CMKの生成
キーを利用/管理するIAMユーザー及びロールの定義
CMKのEnable/Disable/Delete
1年毎のキーの自動ローテーション
CMKのインポート

CMKの生成

マネジメントコンソールにKMSのメニューはないので、IAMの"Encryption Keys"より作成する。
暗号鍵はリージョン単位
鍵に対しパーミッションの設定

CMKのEnable/Disable/Delete

管理者により自由にEnable/Disableが可能で、Disableにすることで使用不可になる。ただし、Disableの鍵も課金対象。
Disable状態の鍵はDeleteが可能。削除した鍵を利用していたデータは復号不可能になる。削除には猶予期間（デフォルト30日）があり、その期間であれば削除のキャンセルが可能。

CMKのローテーション

1年毎に自動ローテーション（期間は現時点で固定）。
古い鍵は保管され続け（課金対象）、復号に利用される。
利用者からは新旧の鍵を意識せず、透過的に利用可能。

CMKのインポート

自前の鍵を持ち込み可能に（2016/8/11リリース）
有効期限指定/削除/再インポートが可能
インポートした鍵の自動ローテーションは不可

Key Policy

鍵に対するリソースベースのパーミッション
Key Policyの他、IAM Policyでもアクセス制御が可能
評価はIAMと同様で、デフォルトDeny < Allow < 明示的Deny

サービスデフォルトキー

AWSが管理する各サービスのデフォルトキーで、S3/EBSなどの対応サービスでサーバーサイド暗号化を有効化することで、自動生成される（アカウント/リージョン毎）

KMSの暗号化処理

KMSホストにリクエストすることで内部で処理される。

KMSの暗号化選択肢

クライアントサイド暗号化

ユーザーアプリケーションでデータ暗号化する際にKMSを利用する。AWS SDKを使うことでハンドル可能。

サーバーサイド暗号化

AWSの各種サービス（S3/EBS/RDS/...etc.）とインテグレーションされている。

KMS利用TIPS

アカウント毎の制限があるので必要に応じて上限緩和申請をすること
APIリクエストのスロットリングに注意（100リクエスト/秒）。S3のデータへの同時大量アクセスなど。
リージョン間で鍵の共有はできない
KMS with AWSサービス
- EBS：サポートされているインスタンスに注意。また、1インスタンスにアタッチできる同じCMSで暗号化したボリュームは30個まで
- RDS：レプリケーション、スナップショット利用時の制限事項に注意が必要。また、暗号化した状態でCMKをDisableにするとリカバリー不可能になる。
- S3：バケットポリシーで強制も可能