KMS と暗号化
Pro会員限定上級約37分6レッスン
S3 の既定の暗号化とオブジェクトごとの暗号化を読み、SSE-KMS のオブジェクトを読めない「kms:Decrypt の AccessDenied」を、kms:ViaService で絞った許可で直します。キーポリシーの意味を読み、自動ローテーションを有効にし、誤って削除予約されたキーを取り消して有効に戻します。
対象者: KMS の「暗号化できる・できない」を権限から説明できるようになりたい方
前提知識: IAM 上級② AssumeRole と信頼ポリシー 修了程度
この教材を終えると、できるようになること
- get-bucket-encryption と head-object で、バケットの既定とオブジェクトごとの暗号化の方式・キーを確認できるようになる。
- SSE-KMS のオブジェクトの読み取りに必要な kms:Decrypt を、kms:ViaService で S3 経由に絞って許可できるようになる。
- get-key-policy でキーポリシーを読み、root への許可・キー管理者・キー利用者の違いを説明できるようになる。
- get-key-rotation-status と enable-key-rotation で、カスタマー管理キーの自動ローテーションを設定できるようになる。
- describe-key で削除予約に気づき、cancel-key-deletion と enable-key で鍵を使える状態に戻せるようになる。
修了後の姿: マルチアカウント・ネットワーク・可観測性・自動化まで含めて、AWS環境を安全に設計・運用・改善できるクラウドエンジニアへ。
Chapter 1鍵を使う権限は、データを読む権限
SSE-KMS では、S3 の権限と KMS の権限の両方が要る。
- 既定の暗号化とオブジェクトの暗号化を読むSSE-S3・SSE-KMS・バケットキー約7分（有料会員限定）
- kms:Decrypt が無い AccessDenied を直すS3 の権限があっても、鍵を使えなければ読めない約8分（有料会員限定）
- キーポリシーを読む「Enable IAM User Permissions」の本当の意味約7分（有料会員限定）
- 自動ローテーションを有効にする鍵の ID は変わらず、鍵の素材だけが新しくなる約6分（有料会員限定）
- 削除予約を取り消す待機期間のうちなら戻せる。削除されたら二度と復号できない約7分（有料会員限定）
- 確認クイズ: KMS と暗号化SSE-KMS・キーポリシー・ローテーション・削除約2分（有料会員限定）