AWS Key Management Service

AWS上のデータ暗号化キーを管理するサービス。

暗号化キーを作成・管理するサービス。S3、EBS、RDS、DynamoDBなどの保存時暗号化に利用できる。

• S3オブジェクトの暗号化
• EBSボリューム暗号化
• DynamoDBやRDSの保存時暗号化

• 保存時暗号化に使うキー管理サービス
• AWS管理キーとカスタマー管理キーがある
• アクセス制御はキーポリシーとIAMで行う

• クロスアカウント利用ではキーポリシーが重要
• キーのローテーションを理解する
• 暗号化対象サービスとの連携を設計する

AWS Key Management Service（KMS）は、データ暗号化に使うキーを作成・管理・利用する ためのマネージドサービスである。KMS で作成する KMS キー（旧称: CMK / カスタマー マスターキー）は、AWS が管理する AWS 管理キー、利用者が作成・管理するカスタマー管理キー、 AWS 所有キーの 3 種類に大別される。AWS が提供する多くのサービス（S3、EBS、RDS、 DynamoDB、Secrets Manager など）と統合されており、保存時暗号化（encryption at rest）の キーとして利用できる。 KMS キーへのアクセス制御は「キーポリシー」と「IAM ポリシー」の組み合わせで行う。 キーポリシーは KMS キーごとに設定する JSON で、誰がそのキーを管理できるか・誰が 暗号化／復号に使えるかを定義する。クロスアカウントで KMS キーを共有する場合、 利用側アカウントの IAM ポリシーだけでなく、キーポリシー側でも明示的に許可する必要が ある点が試験で頻出する。カスタマー管理キーは自動キーローテーション（年次など）を 設定できる。 試験文脈では「保存時の暗号化に使うキーを管理するサービスはどれか」「クロスアカウントで 暗号化データを共有する場合のキー管理はどう設計すべきか」という形で出題される。 AWS 管理キーは料金がかからず簡単に使い始められるが、キーポリシーをカスタマイズできない ため、組織横断の細かな権限制御が必要な場合はカスタマー管理キーを選ぶことになる。 カスタマー管理キーには月額のキー保管料と API リクエスト数に応じた従量課金が発生する。 KMS キーを削除すると、そのキーで暗号化されたデータは復号できなくなるため、削除操作に は最短 7 日間の待機期間が設けられている。

• AWS Key Management Service とは（AWS公式ドキュメント）↗
• AWS Key Management Service（AWS公式）↗

最終更新日：2026-06-19