CloudHSMとKMSの使い分け 専有HSM・鍵の管理責任・カスタムキーストアの選び方

暗号鍵をどこで、誰が管理するか。SCS試験では、AWS KMSとAWS CloudHSMのどちらを選ぶべきか、要件から判断できるかが問われます。コンプライアンス要件が絡むと選択を誤りやすい分野です。

覚え方：KMSとCloudHSMを分ける3つの観点

• 管理の主体：AWSがマネージドで運用するか、顧客が鍵とHSMユーザーを管理するか
• テナント：マルチテナントか、顧客専有のシングルテナントか
• 統合のしやすさ：AWSサービスとのネイティブ統合か、標準APIでの利用か

AWS KMS

S3、EBS、RDSなど多くのAWSサービスとネイティブに統合され、キーポリシーやIAMで権限を制御します。CloudTrailで利用状況を監査できます。どんな要件のとき選ぶか：運用負荷を抑えて、AWSサービスのデータを暗号化したい一般的な場合です。

AWS CloudHSM

顧客専有のHSMクラスターで、鍵の生成と利用に対する管理を顧客自身が行います。PKCS#11、JCE、CNGなどの標準APIで利用できます。どんな要件のとき選ぶか：専有HSMの利用が規則で求められる、独自アプリで標準APIを使って署名や暗号化を行いたい場合です。

KMSカスタムキーストア

KMSのAPIやAWSサービス統合を使いながら、鍵のマテリアルを自分のCloudHSMクラスターに保存できる仕組みです。どんな要件のとき選ぶか：KMSの使い勝手を保ちつつ、鍵を専有HSMで保持したい場合です。ただしクラスターの可用性などは顧客の責任になります。

チェックリスト

• KMSとCloudHSMの管理責任の違いを説明できる
• 標準APIの利用がCloudHSMの選択理由になることを説明できる
• カスタムキーストアの目的を説明できる
• それぞれの運用負荷の違いを説明できる

まとめ

原則はKMS、専有HSMや標準APIが必須ならCloudHSMという判断の軸を持っておきましょう。 知識が定着したら、クイズで理解度を確認しましょう。最新の試験情報はAWS認定 公式ページで確認できます。