$30 off During Our Annual Pro Sale. View Details »

使えそうで使われないCloudHSM

かぴ
October 31, 2024

 使えそうで使われないCloudHSM

2024/10/30開催「若手エンジニア応援LT会(Japan AWS Jr. Champions&JAWS-UG東京コラボ)」の登壇資料
https://jawsug.connpass.com/event/330025/

かぴ

October 31, 2024
Tweet

Other Decks in Technology

Transcript

  1. 2 ©AR Advanced Technology All Right Reserved. 自己紹介 上林 麻衣

    ニックネーム:かぴ 経緯:かみばやし→かみぱらし→かぴぱら→かぴ ARアドバンストテクノロジ株式会社所属 新卒3年目 官公庁系システムの運用保守
  2. 4 ©AR Advanced Technology All Right Reserved. きっかけ • 案件でCloudHSMに格納されている鍵の交換(格納

    /削除)を実施 • 作業を通してCloudHSMへの理解が深まった ⇒学んだことをアウトプットしたい!
  3. 6 ©AR Advanced Technology All Right Reserved. CloudHSMの概要 • AWSが提供するHSM(ハードウェアセキュリティモジュール)

    →簡単にいうと鍵の保管庫 • 暗号鍵を管理、暗号化・復号処理の高速化・負荷軽減ができる • セキュリティ面では FIPS 140-3 Level3 の認証を取得 • シングルテナント方式を採用している
  4. 7 ©AR Advanced Technology All Right Reserved. CloudHSMの概要 • AWSが提供するHSM(ハードウェアセキュリティモジュール)

    →簡単にいうと鍵の保管庫 • 暗号鍵を管理、暗号化・復号処理の高速化・負荷軽減ができる • セキュリティ面では FIPS 140-3 Level3 の認証を取得 • シングルテナント方式を採用している 4段階中上から2番目 アメリカが定めた グローバルなコンピュータ・セキュリ ティ・情報システムに関する規定
  5. 12 ©AR Advanced Technology All Right Reserved. CloudHSMを操作してみる Virtual private

    cloud (VPC) 管理用EC2 AWS CloudHSM AWS CloudHSM Client SDKs
  6. 13 ©AR Advanced Technology All Right Reserved. AWS CloudHSM Client

    SDKs とは? • HSMに接続するためのツール • Client SDK 3 と Client SDK 5 がある (今回は Client SDK 5 を利用する) • Client SDK 5 は CloudHSM CLI を使って鍵を操作する
  7. 14 ©AR Advanced Technology All Right Reserved. CloudHSM CLI login/logout

    HSMへのログイン/ログアウト hsm-info CloudHSMクラスターのHSMの一覧を表示 key list HSMに格納されている鍵一覧を表示 key import pem HSMにPEM 形式キーをインポート key generate- asymmetric-pair rsa HSMに非対称RSAキーを生成 key delete HSMに格納されている鍵を削除
  8. 15 ©AR Advanced Technology All Right Reserved. 実践してみる Virtual private

    cloud (VPC) 管理用EC2 AWS CloudHSM AWS CloudHSM Client SDKs
  9. 26 ©AR Advanced Technology All Right Reserved. KMSとは 項目 KMS

    セキュリティ FIPS 140-2 Level3 管理 AWS 方式 マルチテナント
  10. 27 ©AR Advanced Technology All Right Reserved. KMSとは 項目 KMS

    CloudHSM セキュリティ FIPS 140-2 Level3 FIPS 140-3 Level3 管理 AWS ユーザ 方式 マルチテナント シングルテナント
  11. 28 ©AR Advanced Technology All Right Reserved. コスト面で比較 サービス 料金

    コスト KMS AWS KMSキー 1つあたり 1 USD/月 CloudHSM HSM 1台あたり 1.81 USD/時間
  12. 29 ©AR Advanced Technology All Right Reserved. コスト例 1つのKMSキーを作成して1カ月間利用する場合 •

    AWS KMSキーの料金 • HSMの料金 ※為替は155円、AWS KMSへのAPIリクエスト料金は除外 1(USD)×1(カ月)×155(円)=155円 1.81(USD)×1(台)×24(時間)×31(日)×155(円) =208,729円 1台HSMを作成して1カ月間利用する場合
  13. 30 ©AR Advanced Technology All Right Reserved. コスト例 1つのKMSキーを作成して1カ月間利用する場合 •

    AWS KMSキーの料金 • HSMの料金 ※為替は155円、AWS KMSへのAPIリクエスト料金は除外 1(USD)×1(カ月)×155(円)=155円 1.81(USD)×1(台)×24(時間)×31(日)×155(円) =208,729円 1ヶ月約21万円
  14. 31 ©AR Advanced Technology All Right Reserved. CloudHSMが使われない理由 高い! 管理が必要!

    KMSでカバーできる範囲が広い! ⇒特定の条件下でしか使われない • FIPS 140-3 Level3 の認定が必須 • シングルテナントが必須 • etc…
  15. 32 ©AR Advanced Technology All Right Reserved. まとめ • CloudHSM

    は ユーザが管理できるHSMサービス • セキュリティが強い • クラスター構成になっている • HSMに接続したい場合は AWS CloudHSM Client SDKs を使う必要がある • あんまり使われないけどよかったら触ってみてください (高いけど…)
  16. 33 ©AR Advanced Technology All Right Reserved. 参考資料 • とは

    AWS CloudHSM - AWS CloudHSM • よくある質問 - AWS CloudHSM | AWS • [AWS Black Belt Online Seminar] AWS CloudHSM – YouTube • 米国政府標準FIPSとセキュリティ対策 - ネットセキュリティ情報と説明 • Offload operations with AWS CloudHSM Client SDKs - AWS CloudHSM • AWS CloudHSM クライアント SDK 5 の利点 - AWS CloudHSM • AWS CloudHSM コマンドラインインターフェイス (CLI) - AWS CloudHSM • CloudHSM CLI コマンドのリファレンス - AWS CloudHSM • 料金 - AWS CloudHSM | AWS • 料金 - AWS Key Management Service | AWS