[AWS Expert Online for JAWS-UG 39] AWS Key Management Service 対称鍵暗号の仕組みと機能の使い所

KMSにおける対称鍵暗号の仕組みを起点に、サポートでもよくお問い合わせいただく、ローテーション、マルチリージョンキー、インポート、というような各種機能の使い所を紹介します。

資料内の参考資料リンク
AWS Key Management Service - AWS Key Management Service
https://docs.aws.amazon.com/kms/latest/developerguide/overview.html

AWS KMS keys - AWS Key Management Service
https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html

Customer data operations - AWS Key Management Service
https://docs.aws.amazon.com/kms/latest/cryptographic-details/customer-data-operations.html

The curious case of faster AWS KMS symmetric key rotation | AWS Security Blog
https://aws.amazon.com/jp/blogs/security/the-curious-case-of-faster-aws-kms-symmetric-key-rotation/

Control access to multi-Region keys - AWS Key Management Service
https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-auth.html

Client-side and server-side encryption - AWS Database Encryption SDK
https://docs.aws.amazon.com/database-encryption-sdk/latest/devguide/client-server-side.html

Importing key material for AWS KMS keys - AWS Key Management Service
https://docs.aws.amazon.com/kms/latest/developerguide/importing-keys.html

Demystifying AWS KMS key operations, bring your own key (BYOK), custom key store, and ciphertext portability | AWS Security Blog
https://aws.amazon.com/blogs/security/demystifying-kms-keys-operations-bring-your-own-key-byok-custom-key-store-and-ciphertext-portability/

各サービスの Black Belt 資料へのリンク
AWS KMS: https://pages.awscloud.com/rs/112-TZM-766/images/AWS-Black-Belt_2024_AWS_KeyManagementService_0331_v1.pdf
AWS CloudHSM: https://pages.awscloud.com/rs/112-TZM-766/images/AWS-Black-Belt_2026_AWS-CloudHSM_0630_v1.pdf
AWS Payment Cryptography: https://pages.awscloud.com/rs/112-TZM-766/images/AWS-Black-Belt_2024_AWS-Payment-Cryptography_0930_v1.pdf

Transcript

1. 2026/09 AWS Expert Online for JAWS-UG AWS Key Management Service 対称鍵暗号の仕組みと機能の使い所 沼⽥ 裕太郎 アマゾン ウェブ サービス ジャパン合同会社 技術⽀援本部 クラウドサポートエンジニア © 2026, Amazon Web © 2026, Services, Amazon Inc. or Web its Services, affiliates.Inc. All or rights its affiliates. reserved.All Amazon rights Confidential reserved. Amazon and Trademark. Confidential and Trademark.
2. ⾃⼰紹介 沼⽥ 裕太郎 アマゾン ウェブ サービス ジャパン合同会社 技術⽀援本部 クラウドサポートエンジニア 主な担当サービス : AWS Certificate Manager (ACM) Amazon Cognito AWS Key Management Service (KMS) 暗号・認証認可に関するお問い合わせに対応しています © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 2
3. よくある疑問 • キーローテーションを有効化した場合どのような影響があるのか どのようなときにローテーションを有効化するのかわからない • 災害対策を考えるときにはマルチリージョンキーを選べばいいのか • 鍵を持ち込む BYOK のためにはインポートをすればいいのか • 暗号処理のユースケースにおいてどの AWS サービスが適しているのか わからない © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 3
4. よくある疑問 • キーローテーションを有効化した場合どのような影響があるのか どのようなときにローテーションを有効化するのかわからない • 災害対策を考えるときにはマルチリージョンキーを選べばいいのか • 鍵を持ち込む BYOK のためにはインポートをすればいいのか • 暗号処理のユースケースにおいてどの AWS サービスが適しているのか わからない → KMS の対称鍵暗号の仕組みを理解することが重要 © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 4
5. AWS Key Management Service (KMS) とは 暗号鍵の作成・管理・使⽤を⾏うマネージドサービス • FIPS 140-3 Level 3 認証済みのハードウェアセキュリティモジュール (HSM) を活⽤した鍵管理 • HSM の管理を意識せずに利⽤可能 • AWS 側で鍵の耐久性・冗⻑性を確保 • 100 以上の AWS サービスと統合 (S3, EBS, RDS, DynamoDB, ...) https://aws.amazon.com/kms/ © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. https://docs.aws.amazon.com/kms/latest/developerguide/overview.html 5
6. 鍵の種類と選択基準 鍵の種類は鍵管理の要件に応じて使い分ける AWS マネージドキー カスタマーマネージドキー 管理者 AWS が作成・管理 ユーザーが作成・管理 キーポリシー 編集不可 編集可 利⽤範囲 サービスごとで固定 ユーザーが定義 ローテーション ⾃動 (毎年固定、変更不可) 周期変更可 + オンデマンド マルチリージョンキー 利⽤不可 利⽤可能 鍵のインポート 不可 可能 ※ ここでは、ユーザーから⾒えない AWS 所有の鍵は省略 © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. https://docs.aws.amazon.com/kms/latest/developerguide/con cepts.html 6
7. KMS 対称鍵暗号の仕組み 暗号化をするたびに異なる暗号鍵を使⽤するため、KMS の対称鍵 （キーマテリアル）は、暗号鍵ではなく鍵導出鍵として使⽤されている 暗号処理の流れ: キーマテリアル 鍵導出関数 導出された暗号鍵 暗号化 / 復号 なぜこのような仕組みか: 同⼀の鍵で暗号化を繰り返す場合、安全に利⽤できる回数に上限がある （256 bitのAES-GCMなら約43億回が安全利⽤限界とされる） KMS のように毎回⼀意の暗号鍵を導出することで、利⽤者が上限を意識する必要がなくなる © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. https://docs.aws.amazon.com/kms/latest/cryptographicdetails/customer-data-operations.html 7
8. よくある疑問 • キーローテーションを有効化した場合どのような影響があるのか どのようなときにローテーションを有効化するのかわからない • 災害対策を考えるときにはマルチリージョンキーを選べばいいのか • 鍵を持ち込む BYOK のためにはインポートをすればいいのか • 暗号処理のユースケースにおいてどの AWS サービスが適しているのか わからない © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 8
9. ローテーション ̶ 仕組みと機能 暗号化済みの既存データへの影響なし ローテーション時の動作 利⽤できる機能・設定 • キー ID / ARN は変わらない • ⾃動ローテーション期間の変更 90 ⽇〜2560 ⽇ • 新しいキーマテリアルを追加（古いものは保持） • オンデマンドなローテーション機能 • 暗号化︓最新のキーマテリアルから鍵導出 • インポートした KMS キーのオンデマンドローテー ション • 復号︓暗号⽂のメタデータを元に該当するキーマ テリアルを⾃動選択 © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. https://aws.amazon.com/jp/blogs/security/the-curious-caseof-faster-aws-kms-symmetric-key-rotation/ 9
10. ローテーション ̶ 必要性と使い所 KMS ではローテーションのセキュリティ上の必要性は限定的 必要性が限定的な理由 鍵漏洩リスクの観点: KMS キーは HSM 内にのみ存在し、 平⽂で外部に出ず、エクスポートも不可 Wear-out（摩耗）リスクの観点: 呼び出しごとに⼀意の暗号鍵を導出して使⽤ 同⼀の鍵で暗号化を繰り返す構造ではない © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 主な使い所 コンプライアンス・監査対応 • NIST 800-57、PCI DSS、SOC 2、 ISO 27001 などの要件に対応 • 有効化することで、監査時の 説明コストを抑えられる可能性 https://aws.amazon.com/jp/blogs/security/the-curious-caseof-faster-aws-kms-symmetric-key-rotation/ 10
11. よくある疑問 • キーローテーションを有効化した場合どのような影響があるのか どのようなときにローテーションを有効化するのかわからない • 災害対策を考えるときにはマルチリージョンキーを選べばいいのか • 鍵を持ち込む BYOK のためにはインポートをすればいいのか • 暗号処理のユースケースにおいてどの AWS サービスが適しているのか わからない © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 11
12. マルチリージョンキー 暗号⽂を別リージョンで復号したい場合にマルチリージョンキーが有⽤ マルチリージョンキーでは、同⼀のキーマテリアルを複数リージョンにレプリケートできる しかし、機能として必要になるユースケースは主に「クライアントサイド暗号化」 サーバーサイド暗号化 クライアントサイド暗号化 レプリカ先で再暗号化される 暗号⽂をそのまま別リージョンで復号したい → マルチリージョンキーは不要 → マルチリージョンキーが有⽤ （S3, EBS, RDS, DynamoDB 等） 単⼀リージョンキーで⼗分 （AWS Encryption SDK, Database Encryption SDK 等） 同⼀キーマテリアルが異なるリージョンに必要 https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-auth.html © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. https://docs.aws.amazon.com/database-encryption-sdk/latest/devguide/client-serverside.html 12
13. よくある疑問 • キーローテーションを有効化した場合どのような影響があるのか どのようなときにローテーションを有効化するのかわからない • 災害対策を考えるときにはマルチリージョンキーを選べばいいのか • 鍵を持ち込む BYOK のためにはインポートをすればいいのか • 暗号処理のユースケースにおいてどの AWS サービスが適しているのか わからない © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 13
14. キーマテリアルのインポート インポートの⽬的と KMS の暗号仕様が合致しているか確認が必要 KMS に対称鍵をインポートした場合…… • 暗号処理時には、インポートしたキーマテリアルを元に、KMS 内部で暗号鍵の導出が⾏われる • 同じキーマテリアルを外部で使⽤しても暗号⽂の相互運⽤性がない 「オンプレで暗号化 → KMS で復号」は成⽴しない点に注意 インポートで対応できる要件 • キーマテリアルのライフサイクル管理 • 組織の鍵⽣成・管理ポリシーへの準拠 https://docs.aws.amazon.com/kms/latest/developerguide/importing-keys.html © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. https://aws.amazon.com/blogs/security/demystifying-kms-keys-operations-bring-yourown-key-byok-custom-key-store-and-ciphertext-portability/ 14
15. よくある疑問 • キーローテーションを有効化した場合どのような影響があるのか どのようなときにローテーションを有効化するのかわからない • 災害対策を考えるときにはマルチリージョンキーを選べばいいのか • 鍵を持ち込む BYOK のためにはインポートをすればいいのか • 暗号処理のユースケースにおいてどの AWS サービスが適しているのか わからない © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 15
16. 他 AWS サービスとの⽐較 利⽤要件 要件にマッチする AWS サービス AWS サービスの暗号化（S3, EBS, RDS 等） → AWS KMS シングルテナントの HSM が必要 → AWS CloudHSM 暗号鍵のインポート/エクスポート要件がある → AWS CloudHSM 決済処理（PIN ブロック、CVV、DUKPT、TR-31） → AWS Payment Cryptography 上記いずれにも該当しない → AWS KMS 各サービスの Black Belt 資料へのリンク AWS KMS: https://pages.awscloud.com/rs/112-TZM-766/images/AWS-Black-Belt_2024_AWS_KeyManagementService_0331_v1.pdf AWS CloudHSM: https://pages.awscloud.com/rs/112-TZM-766/images/AWS-Black-Belt_2026_AWS-CloudHSM_0630_v1.pdf AWS Payment Cryptography: https://pages.awscloud.com/rs/112-TZM-766/images/AWS-Black-Belt_2024_AWS-PaymentCryptography_0930_v1.pdf © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 16
17. まとめ KMS の対称鍵のキーマテリアルは鍵導出鍵として使われている この仕組みから、以下機能の使い所が判断できる • ローテーション: 既存データへの影響なし。主な⽬的はコンプライアンス • マルチリージョンキー: サーバーサイド暗号化なら単⼀リージョンキーで⼗分 • キーマテリアルのインポート: 対称鍵の暗号⽂は KMS 内外で互換性がない 今回触れなかったトピック キーポリシー / グラント / カスタムキーストア / キーの削除 © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 17