AWS Control Tower の有効化時に使用するAWS KMS KeyをCloudFormationで作成して、暗号化を有効にしてみた

梶原大使

2024.03.25

AWS Control Tower でランディングゾーンの作成また更新時にKMS キーによる暗号化また復号の設定を行うことができます。

その際に必要となるKMS キーなのですが、いくつか条件があり、手作業でやると煩雑でしたので、CloudFormationテンプレートを作成して、リソースの作成を行いましたのでテンプレートを共有します。

AWS KMS キーの条件

ランディングゾーンで使用する際に、使用できるKMSキーは以下の条件があります。

有効である
対称キーである
マルチリージョンキーではない
ポリシーに正しい許可が追加されている
- Config サービスに対して、暗号化また復号の許可が設定されている
- CloudTrailサービスに対して、暗号化また復号の許可が設定されている
キーが管理アカウントにある
ランディングゾーンのホームリージョンと同一のリージョンにある

参考

AWS KMS keysの設定 (任意) - AWS Control Tower

やってみた

CloudFormation テンプレート

Parameters:
  ControlTowerKmsAliasName:
    Type: String
    Default: ct-kms-key

Resources:
  ControlTowerKmsKey:
    Type: "AWS::KMS::Key"
    Properties:
      Description: "The AWS Key used in AWS Control Tower for encryption and decryption in the landing zone"
      Origin: "AWS_KMS"
      KeyUsage: "ENCRYPT_DECRYPT"
      Enabled: true
      KeySpec: "SYMMETRIC_DEFAULT"
      MultiRegion: false
      KeyPolicy:
        Version: "2012-10-17"
        Statement:
        - Sid: "Enable IAM User Permissions"
          Effect: "Allow"
          Action: "kms:*"
          Principal:
            AWS: !Sub "arn:aws:iam::${AWS::AccountId}:root"
          Resource: "*"
        - Sid: "Allow Config to use KMS for encryption"
          Effect: "Allow"
          Action: 
            - "kms:GenerateDataKey"
            - "kms:Decrypt"
          Principal:
            Service: "config.amazonaws.com"
          Resource: "*"
        - Sid: "Allow CloudTrail to use KMS for encryption"
          Effect: "Allow"
          Action: 
            - "kms:GenerateDataKey"
            - "kms:Decrypt"
          Principal:
            Service: "cloudtrail.amazonaws.com"
          Condition:
            StringEquals:
              aws:SourceArn: !Sub "arn:aws:cloudtrail:${AWS::Region}:${AWS::AccountId}:trail/aws-controltower-BaselineCloudTrail"
            StringLike:
              kms:EncryptionContext:aws:cloudtrail:arn: !Sub "arn:aws:cloudtrail:*:${AWS::AccountId}:trail/*"
          Resource: "*"
      EnableKeyRotation: false
      Tags: []

  ControlTowerKmsAlias:
    Type: "AWS::KMS::Alias"
    Properties:
      TargetKeyId: !Ref ControlTowerKmsKey
      AliasName: !Sub alias/${ControlTowerKmsAliasName}

Outputs:
  ControlTowerKmsKeyId:
    Description: "ID of Control Tower KMS key"
    Value: !Ref ControlTowerKmsKey