TERM 020
KMS
暗号鍵を、アプリから分離して管理する
KMSは、暗号鍵の作成、保護、利用権限、ローテーション、監査を集中管理するサービスです。アプリが鍵の生データを保持せず、API経由で暗号処理を依頼できます。
暗号鍵の作成・利用・ローテーションを管理する仕組みの全体像。
CONTENTSこの記事の目次＋
QUICK OVERVIEW
30秒でつかむ
用途別の整理
環境や用途ごとに鍵を分け、権限境界を明確にします。
鍵の世代
新しい版で暗号化し、旧版で既存データを復号できる期間を管理します。
鍵利用の記録
誰がいつどの鍵を使ったかを追跡します。
01 — DEFINITION
KMSとは
何か
KMSは、暗号鍵の作成、保護、利用権限、ローテーション、監査を集中管理するサービスです。アプリが鍵の生データを保持せず、API経由で暗号処理を依頼できます。
02 — HOW IT WORKS
仕組みを
3段階で見る
細部へ入る前に、入力から結果までの役割を順番に捉えます。
暗号操作を依頼
認証済みアプリが鍵と操作を指定する。
→鍵の権限を確認
IAMと鍵状態から利用可能か判定する。
→保護領域で処理
鍵を外へ出さず暗号化・復号・署名を実行する。
KMSを理解するときの、最小の処理単位です。
03 — ESSENTIALS
押さえるべき
3つの要点
名前だけでなく、この3点の関係まで理解すると実装へつなげやすくなります。
用途別の整理
環境や用途ごとに鍵を分け、権限境界を明確にします。
鍵の世代
新しい版で暗号化し、旧版で既存データを復号できる期間を管理します。
鍵利用の記録
誰がいつどの鍵を使ったかを追跡します。
04 — REAL WORLD EXAMPLE
アプリのデータ暗号化鍵を包む
大量データを直接KMSへ送らず、データ用鍵をアプリで使います。
- 01
データごとの一時鍵で内容を暗号化する
- 02
一時鍵をKMSの鍵で暗号化して保存する
- 03
利用時だけKMSで一時鍵を復号する
05 — WATCH OUT
理解するときの
注意点
便利な仕組みほど、守備範囲と失敗の前提を明確にします。
削除の影響を理解する
復号に必要な鍵版を失うと、暗号文を永久に読めなくなる可能性があります。
鍵利用権限を広げない
暗号文へアクセスできる主体と復号できる主体を分離します。
IN ONE SENTENCE
KMSとは？
暗号鍵の作成・利用・ローテーションを管理する仕組み。