ElastiCache での保管時の暗号化

データを安全に保つために、Amazon ElastiCache と Amazon S3 には、キャッシュ内のデータへのアクセスを制限するさまざまな方法が用意されています。詳細については、「Amazon VPC と ElastiCache のセキュリティ」および「Amazon ElastiCache での Identity and Access Managementq」を参照してください。

ElastiCache の保管時の暗号化は、ディスク上のデータを暗号化することでデータのセキュリティを強化する機能です。この機能はサーバーレスキャッシュでは常に有効になっています。有効にすると、次の要素が暗号化されます。

データ階層化が有効なクラスター内の SSD (ソリッドステートドライブ) に保存されたデータは、常時暗号化されます。

ElastiCache は、保管時のデフォルトの (サービスマネージド) 暗号化と、Key Management Service (KMS) で独自の対称カスタマーマネージドAWS KMS キーを使用する機能を提供します。 AWSキャッシュをバックアップするときに、暗号化オプションで、デフォルトの暗号化キーを使用するか、カスタマー管理のキーを使用するかを選択します。詳細については、「保管時の暗号化を有効にする」を参照してください。

保管時の暗号化は、キャッシュに対してその作成時にのみ有効にできます。データの暗号化と復号を行うにはある程度の処理が必要であるため、保管時の暗号化を有効にすると、これらのオペレーションの実行中のパフォーマンスに影響を与える可能性があります。保管時の暗号化の使用時と未使用時でデータのベンチマークを取得して、ユースケースにおけるパフォーマンスの影響を判断する必要があります。

保管時の暗号化の条件

ElastiCache の保管時の暗号化の実装を計画する際は、ElastiCache の保管時の暗号化の以下の制約事項に留意する必要があります。

保管時の暗号化を実装することで、バックアップオペレーションおよびノード同期オペレーションの実行中にパフォーマンスが低下する場合があります。自身のデータで保管時の暗号化使用時のベンチマークを暗号化なしの場合と比較して、実装におけるパフォーマンスの影響を判断してください。

KMS AWSからのカスタマーマネージドキーの使用

ElastiCache は、保管時の暗号化用に対称カスタマーマネージドAWS KMS キー (KMS キー) をサポートしています。カスタマーマネージド KMS キーは、AWSアカウントで作成、所有、管理する暗号化キーです。詳細については、AWS Key Management Service デベロッパーガイドの「AWS KMS キー」を参照してください。キーは、ElastiCache で使用する前にAWS KMS で作成する必要があります。

KMS ルートキーの作成方法については、AWS「 Key AWS Management Service デベロッパーガイド」の「キーの作成」を参照してください。

ElastiCache では、KMS AWSと統合できます。詳細については、AWS Key Management Service デベロッパーガイドの「付与の使用」を参照してください。Amazon ElastiCache と KMS AWSの統合を有効にするためのカスタマーアクションは必要ありません。

kms:ViaService 条件キーは、KMS AWSキー (KMS キー) の使用を、指定されたAWSサービスからのリクエストに制限します。ElastiCacheとともに kms:ViaService を使用するには、elasticache.AWS_region.amazonaws.com とdax.AWS_region.amazonaws.com の条件キーの値に両方のViaService 名を含めます。詳細については、「kms:ViaService」を参照してください。

AWS CloudTrail を使用して、Amazon ElastiCache によってお客様に代わってAWS Key Management Serviceに送信されるリクエストを追跡できます。カスタマーマネージドキーAWS Key Management Serviceに関連する へのすべての API コールには、対応する CloudTrail ログがあります。ListGrants KMS API コールを行うことで、ElastiCache によって作成される許可を表示することもできます。

カスタマー管理のキーを使用してレプリケーショングループが暗号化されると、レプリケーショングループのすべてのバックアップは以下のように暗号化されます。

保管時の暗号化を有効にする

すべてのサーバーレスキャッシュでは、保管時の暗号化が有効になっています。

ノードベースのクラスターを作成する場合は、パラメータ AtRestEncryptionEnabled を true に設定することで保管時の暗号化を有効にできます。既存のレプリケーショングループ上で保管時の暗号化を有効にすることはできません。

保管時の暗号化は、ElastiCache キャッシュの作成時に有効化できます。これを行うにはAWS マネジメントコンソール、AWS CLI、、または ElastiCache API を使用します。

キャッシュを作成するときに、以下のオプションのいずれかを選択できます。

KMS ルートキーの作成方法については、AWS「 Key AWS Management Service デベロッパーガイド」の「キーの作成」を参照してください。

を使用した保管時の暗号化の有効化AWS マネジメントコンソール

を使用した保管時の暗号化の有効化AWS CLI

を使用して Valkey または Redis OSS クラスターを作成するときに保管時の暗号化を有効にするにはAWS CLI、レプリケーショングループを作成するときに --at-rest-encryption-enabled パラメータを使用します。

aws elasticache create-replication-group \
    --replication-group-id my-classic-rg \
    --replication-group-description "3 node replication group" \
    --cache-node-type cache.m4.large \
    --engine redis \    
    --at-rest-encryption-enabled \  
    --num-cache-clusters 3 

aws elasticache create-replication-group ^
    --replication-group-id my-classic-rg ^
    --replication-group-description "3 node replication group" ^
    --cache-node-type cache.m4.large ^
    --engine redis ^    
    --at-rest-encryption-enabled ^  
    --num-cache-clusters 3 ^

aws elasticache create-replication-group \
   --replication-group-id my-clustered-rg \
   --replication-group-description "redis clustered cluster" \
   --cache-node-type cache.m3.large \
   --num-node-groups 3 \
   --replicas-per-node-group 2 \
   --engine redis \
   --engine-version 6.2 \
   --at-rest-encryption-enabled \
   --cache-parameter-group default.redis6.x.cluster.on

aws elasticache create-replication-group ^
   --replication-group-id my-clustered-rg ^
   --replication-group-description "redis clustered cluster" ^
   --cache-node-type cache.m3.large ^
   --num-node-groups 3 ^
   --replicas-per-node-group 2 ^
   --engine redis ^
   --engine-version 6.2 ^
   --at-rest-encryption-enabled ^
   --cache-parameter-group default.redis6.x.cluster.on

以下の資料も参照してください。