暗号鍵管理の設計 KMSのカスタマー管理キーとマルチリージョンキーを使い分ける

本記事はSCS(Security Specialty)を目指す方向けに、AWS KMSにおける鍵の管理主体と適用範囲の設計を解説します。試験では、規制要件や運用要件から適切な鍵の種類と構成を選ぶ力が問われます。

覚え方のフレームは3つの観点です。所有(誰が鍵を管理するか)・範囲(単一リージョンか複数リージョンか)・統制(ポリシーと監査)。

鍵の所有 AWSマネージドキーとカスタマー管理キー

AWSマネージドキーは各サービスが自動的に作成・ローテーションし、運用の手間がかかりません。カスタマー管理キー(CMK)はキーポリシー・自動または手動ローテーション・削除待機期間を自分で制御できます。キーポリシーで特定のロールだけに復号を許可するなど細かい統制が必要な要件ではCMKを選びます。

範囲 マルチリージョンキー

マルチリージョンキーは、プライマリキーと同じキーマテリアルを持つレプリカキーを他リージョンに作成でき、リージョンをまたいでも再暗号化なしに復号できます。災害復旧のためにDynamoDB Global TablesやAuroraのデータを複数リージョンへレプリケーションしつつ、暗号化されたまま復号できるようにしたい要件で選びます。通常のリージョン固有キーでは、レプリカ先での復号に暗号文の再暗号化が必要になる点と対比して覚えます。

統制 キーポリシーとグラント

キーポリシーは鍵へのアクセス許可の根幹であり、IAMポリシーと組み合わせて評価されます。一時的な権限付与にはグラントを使い、特定のアプリケーションに一時的な暗号化操作だけを許可し、後で明示的に取り消したい要件に向いています。

チェックリスト

• AWSマネージドキーとCMKを統制要件から使い分けられる
• マルチリージョンキーの目的(再暗号化なしの復号)を説明できる
• キーポリシーとグラントの役割の違いを説明できる
• CMKの削除待機期間の意味を理解している

まとめ

鍵管理は「所有・範囲・統制」の3観点で捉え、統制要件が高い場合はCMKを、マルチリージョン構成では複製キーを選ぶのが定石です。この記事の理解度はクイズで確認し、最新の試験範囲はAWS認定 公式ページで確認しましょう。