復号できなくなると怖いので、AWS KMSキーの削除を「面倒」にしてみた CODT 2025 クロージングイベント版

復号できなくなると怖いので、 AWS KMSキーの削除を「面倒」にしてみた CODT 2025 クロージングイベント版 2025-09-05 Cloud Operator Days
Tokyo 2025 https://cloudopsdays.com/ ENECHANGE株式会社岩本隆史

どんな話？暗号化データの復号に必要なキーを、うっかり削除できないようにした話得られるもの：クラウド運用における、うっかりミスを防ぐ視点ポイント：「簡単」ではなく、あえて「面倒」にするという発想

自己紹介岩本隆史 @iwamot ENECHANGE株式会社 VPoT 前職：AWS 技術サポート AWS Community
Builder (Cloud Operations)

「面倒」にした経緯

サービス終了に伴い、AWS環境を削除事業部からの削除リクエストを受諾 DBの最終スナップショットを作成各種リソースを削除

11日後：復号できなくなることに気づく DBの暗号化キーまで削除しようとしていた（ぼくのうっかりミス）ありがたいことに、削除は保留されていた（デフォルト30日待機）このまま待機期間が過ぎると、スナップショットが復号できなくなる虫の知らせで、たまたま気づけた

気づいて助かったが、「うっかり削除」は怖いキーの削除をキャンセルし、事なきを得たとはいえ、今後も「うっかり削除」のリスクが残る

そこで、キーの削除を「面倒」にしてみた deletable = true タグが付いたキーのみ削除を許可するルール AWS Organizationsというサービスのポリシーで実装

リソースコントロールポリシーの実例 { "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Principal":
"*", "Action": "kms:ScheduleKeyDeletion", "Resource": "*", "Condition": { "StringNotEquals": { "aws:ResourceTag/deletable": "true" } } } ] }

Slack通知も実装し、本格導入

タグがないキーは削除が拒否される

タグの付いたキーは削除が待機される

うっかりミスを防ぐ視点

不可逆で、とくに危険な操作はないか例：クラウド側で、待機期間や復旧可能期間が用意されている操作 AWS Secrets Managerシークレットの削除（デフォルトで7日は待機） Azure Key Vaultの論理的な削除（デフォルトで90日は復旧可能） Google Cloudプロジェクトの削除（デフォルトで30日は待機）
「リーエン」という仕組みで削除を拒否することも可能

ルールによる拒否や、イベントの検知は不要かうっかりミスは原理的に防ぎたい危険な操作が行われたら、念のためアラートしたいこれらのニーズは十分に満たせているか

対応のポイント

あえて「面倒」にするという発想危険な操作が本当に必要な場合もある → 無条件に拒否はできない手間をかければ操作できる状態を目指すタグでなくても「面倒」ならよい承認フェーズを設けるリソースロックをかける（Azureなど）

まとめ

こんな話でした暗号化データの復号に必要なキーを、うっかり削除できないようにしたクラウド運用における、うっかりミスを防ぐ視点不可逆で、とくに危険な操作はないかルールによる拒否や、イベントの検知は不要かあえて「面倒」にすべき操作はないか、考えてみませんか？

復号できなくなると怖いので、AWS KMSキーの削除を「面倒」にしてみた CODT 2025 ...

復号できなくなると怖いので、AWS KMSキーの削除を「面倒」にしてみた CODT 2025 クロージングイベント版

iwamot PRO

More Decks by iwamot

Other Decks in Technology

Featured

Transcript