【新機能】KMSのカスタマーマスターキーを削除できるようになりました！

こんにちは、虎塚です。

2015年10月15日のAWSアップデートで、KMS (AWS Key Management Service) のカスタマーマスターキーをユーザが削除できるようになりました！

• Amazon Web Services ブログ: 【AWS発表】AWS Key Management Serviceで暗号鍵の削除をサポート

カスタマーマスターキーって何？

AWS上で、ユーザが作成管理できる暗号化鍵です。RDS、S3、Redshiftなどをサーバサイドで暗号化することや、クライアントサイド暗号化で利用するデータキーの生成や暗号化をおこなうことができます。詳しくは次の記事をどうぞ。

• 10分でわかる！Key Management Serviceの仕組み #cmdevio ｜ Developers.IO

これまで

これまでは一度作成したカスタマーマスターキーを削除することはできませんでした。削除のAPIが提供されていなかったのです。そのため、検証やオペレーションミスで作成した不要になった鍵がずっとAWSアカウントに残り続けていました。

鍵を無効状態にすることで課金を免れることはできましたが（後述しますが、この料金設定は今回のアップデートにともない変わりました！）、気になっていた方も多いのではないでしょうか？

これから

カスタマーマスターキーを削除できるようになりました。カスタマーマスターキーの削除は、ドキュメントによると次のようなユースケースにフィットするようです。

• カスタマーマスターキーのライフサイクルを完了させるとき
• 使用しないカスタマーマスターキーの管理コストを避けたいとき
• カスタマーマスターキーの作成数リミットに抵触しそうなとき
  • キーの上限はリージョンごとに100個までです
  • 参考: Limits - AWS Key Management Service

注意点

カスタマーマスターキーの削除は慎重に

カスタマーマスターキーの削除は慎重におこなってください。クライアントサイドで暗号化をおこなう場合、カスタマーマスターキーで暗号化したデータキーによってデータを暗号化します。カスタマーマスターキーを削除してしまうと、データキーを復号できなくなりますので、データを復号できなくなります。

そのため、カスタマーマスターキーの削除を選択しても、キーが即座に削除されないようになっています。7〜30日間の削除保留期間をユーザはかならず設定する必要があります（システムによって強制されます）。

料金の変更

カスタマーマスターキーの削除機能がリリースされたことに伴い、無効化した状態のキーに利用費がかかるようになりました。2016年4月から、無効化した鍵1本につき$1/月の料金が発生します。

いらなくなった鍵を無効化して見ないフリをしていた方は、これを機に削除しておくとよいでしょう。

実践: カスタマーマスターキーの削除

AWS Management Consoleからカスタマーマスターキーを削除してみましょう。

カスタマーマスターキーの削除をスケジュールする

まず、KMSのキー一覧を表示します。削除対象のキーのチェックボックスをonにして、ドロップダウンリストから［Schedule key deletion］を選択します。

次に、削除保留期間を設定します。［Schedule key deletion］ダイアログが開きますので、［Waiting period］に保留期間の日数を設定します。デフォルトは30日で、7〜30日の期間で設定できます。

最後に、キー一覧で対象キーが「Pending Deletion」ステータスになったことを確認しておきましょう。なお、期間までの間であれば、削除保留を取り消すことができます。

削除保留を取り消す

対象のキーをのチェックボックスをonにして、ドロップダウンリストから［Cancel key deletion］を選択するだけです。

AWS APIの更新

上記の手順をAWS CLIで実行する場合は、version 1.8.13以上を利用してください。

• Release: AWS Command Line Interface 1.8.13 : Release Notes : Amazon Web Services

次の2つのAPIが新規に追加されました。

• schedule-key-deletion
• cansel-key-deletion

したがって、キーポリシーのallowアクションでKMS APIを一括許可していない場合は、上記のAPI実行の明示的な許可を追加する必要があります。

おわりに

慎重にも慎重を要する機能ですが、カスタマーマスターキーを削除できるようになったのは便利だと思います。これでキーが増えることを気にせずKMSの検証ができそうです。

それでは、また。