AWSで保存データの暗号化キーを作成・管理するために使うサービスはどれですか？

解説

AWS Key Management Serviceは、暗号化キーを作成・管理し、S3、EBS、RDS、DynamoDBなどの暗号化に利用できるマネージドサービスです。

選択肢ごとの解説

実務での使いどころ

AWS Key Management Service（AWS KMS）は、暗号化キー（カスタマーマスターキー: CMK / 現在は KMS キーと呼称）を作成・管理し、AWS 各サービスのデータ暗号化に利用できる マネージドサービスである。KMS キーは Hardware Security Module（HSM）に保管され、 平文の状態でハードウェア外へ出ない設計となっている。Amazon S3・Amazon EBS・ Amazon RDS・Amazon DynamoDB・AWS Secrets Manager・AWS Systems Manager Parameter Store といった主要サービスから、KMS キーを指定して保存データを暗号化できる。 試験文脈では「AWS で保存データの暗号化キーを作成・管理するために使うサービス」として AWS KMS を選ばせる問題が出る。誤答として Amazon Route 53（DNS）、Amazon CloudFront （CDN）、AWS Budgets（予算管理）など、暗号化と無関係のサービスが並ぶパターンが 多い。「暗号化キーの作成・管理」というキーワードが明示されている場合、AWS CloudHSM （専用 HSM の利用）と区別が必要になるケースもあるが、CLF-C02 レベルでは「マネージド 共有 HSM = KMS」「専用占有 HSM = CloudHSM」と整理して切り分ければよい。 実務では、KMS キーには AWS マネージドキー（AWS 側が管理する各サービス専用キー）と カスタマーマネージドキー（利用者が作成・管理するキー）の 2 種類がある。キーローテーションの 有効化、IAM ポリシー・KMS キーポリシーによるキー利用権限の制御、AWS CloudTrail に よるキー利用ログの監査記録といった運用が組み合わさる。CLF-C02 では責任共有モデル における「データの暗号化はユーザー責任」の原則と、KMS が保存データ暗号化（at-rest encryption）の中心であることが頻出論点となる。転送中の暗号化（in-transit encryption）に 使われる AWS Certificate Manager（ACM）との役割分担もあわせて押さえる必要がある。