AWSセキュリティ

AWS KMSとは

暗号化キーの作成・管理・利用を制御するフルマネージドのキー管理サービス。AWSサービス（S3・EBS・RDS・DynamoDB等）との統合によりサーバーサイド暗号化を一元管理する。

CMK（Customer Managed Key）はキーポリシー・IAMポリシー・グラントの3つで利用権限を制御する。マルチリージョンキーでクロスリージョンの暗号化・復号が可能。自動キーローテーション（年1回）をサポート。

試験での問われ方

SAAではS3のSSE-S3（Amazonが管理）・SSE-KMS（KMSキーを使用・CloudTrailで監査可能）・SSE-C（顧客提供キー）の使い分けが頻出。監査証跡が必要な場合はSSE-KMS。

Secrets ManagerやParameter Store（SecureString）もKMSで暗号化する。「KMSキーのアクセスを取り消すとデータが読めなくなる」という特性が引っかけになる。

エンベロープ暗号化（データキーをCMKで暗号化する仕組み）のコンセプトはDVA・SCSで問われる。