翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

での保管時のデータ暗号化AWS IoT Core

デフォルトでは、保管中のすべてのAWS IoT Coreデータは AWS所有キーを使用して暗号化されます。 は AWS Key Management Service() の対称カスタマーマネージドキーAWS IoT CoreもサポートしていますAWS KMS。カスタマーマネージドキーを使用すると、AWSアカウントのAWS KMSキーを作成、所有、管理できます。AWS IoT Core は KMS キーを使用して保管中のデータを暗号化します。ユーザーは、キーポリシーの作成や保守など、これらの KMS キーを完全に制御できます。これらのキーのアクセス許可を制御するAWS KMSために にアクセスするロールの IAM ポリシーを設定することもできます。

AWS所有キー

AWS所有キーは、 AWSサービスが複数のAWSアカウントで使用するために所有および管理する KMS キーのコレクションです。 AWSサービスはAWS、所有キーを使用してデータを保護します。デフォルトでは、 は AWS所有キーを使用して保管中のデータをAWS IoT Core暗号化します。これらのキーはサービスによって管理されます。AWS所有キーを表示、管理、使用することはできません。ユーザーがこれらのキーを保護するために実行する必要のあるアクションはありません。

AWS所有キーの詳細については、「 AWS Key Management Serviceデベロッパーガイド」のAWS「 所有キー」を参照してください。

カスタマーマネージドキー

カスタマーマネージドキーは、作成、所有、管理するAWSアカウントの KMS キーです。ユーザーは、キーポリシーの作成や保守など、これらの AWS KMS キーを完全に制御できます。これらのキーのアクセス許可を制御するAWS KMSために にアクセスするロールの IAM ポリシーを設定することもできます。カスタマーマネージド KMS キーを使用してデータを暗号化AWS IoT Coreするように を設定できます。

カスタマーマネージドキーの詳細については、AWS Key Management Service デベロッパーガイドの「カスタマーマネージドキー」を参照してください。

でカスタマーマネージドキーにオプトインするにはAWS IoT Core、次の手順に従います。

ステップ 1：カスタマーマネージドキーを作成する

対称カスタマーマネージドキーは、 AWS KMSコンソールまたは AWS KMSCLI コマンドを使用して作成できます。keySpec は SYMMETRIC_DEFAULT、keyUsage は ENCRYPT_DECRYPT である必要があります。

以下は、 でAWS IoT Coreカスタマーマネージドキーに使用できる KMS キーを作成するAWS CLIコマンドの例です。

aws kms create-key --key-spec SYMMETRIC_DEFAULT --key-usage ENCRYPT_DECRYPT --region us-west-2

以下は、コマンドの出力例です。

{
    "KeyMetadata": {
        "AWSAccountId": "111122223333",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "CreationDate": "2024-09-19T11:45:23.982000-07:00",
        "Enabled": true,
        "Description": "",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "Origin": "AWS_KMS",
        "KeyManager": "CUSTOMER",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeySpec": "SYMMETRIC_DEFAULT",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "MultiRegion": false
    }
}

詳細については、「AWS Key Management Service デベロッパーガイド」の「対称カスタマーマネージドキーを作成する」を参照してください。

キーポリシー

カスタマーマネージドキーの作成時に、キーポリシーを指定することができます。キーポリシーは、カスタマーマネージドキーへのアクセスを制御します。すべてのカスタマーマネージドキーには、キーポリシーが 1 つだけ必要です。このポリシーには、そのキーを使用できるユーザーとその使用方法を決定するステートメントが含まれています。詳細については、「AWS Key Management Service デベロッパーガイド」の「キーポリシー」を参照してください。

AWS IoT Coreは、アカウントの IAM ロールを使用してカスタマーマネージドキーにアクセスします。カスタムキーポリシーを使用している場合は、このキーで作成された IAM ロールに次のアクセス許可があることを確認してください。

ステップ 2: KMS キーを使用するAWS IoT Coreためのアクセス許可を付与する IAM ロールを作成する

が作成した KMS キーを使用して保管中のデータを暗号化AWS IoT Coreするには、アカウントに IAM ロールも作成する必要があります。このロールは、 が KMS キーにアクセスするために引き受けAWS IoT Coreることができます。

がロールを引き受けるAWS IoT Coreには、ロールに次の信頼ポリシーが必要です。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": {
        "Effect": "Allow",
        "Principal": {
            "Service": "iot.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
            "StringEquals": {
                "aws:SourceAccount": "111122223333"
            },
            "ArnLike": {
                "aws:SourceArn": "arn:aws:iot:us-west-2:111122223333:*"
            }
        }
    }
}

IAM ロールにアタッチされた IAM ポリシーに、KMS キーに対する次のアクセス許可が設定されていることを確認します。

以下は、カスタマーマネージドキーに必要なアクセス許可が設定された IAM ポリシーの例です。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowIoTToAccessKMSResource",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:ReEncryptTo",
                "kms:ReEncryptFrom",
                "kms:GenerateDataKeyWithoutPlaintext"
            ],
            "Resource": [
                "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
            ],
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws-crypto-ec:vendor": "iot.amazonaws.com"
                }
            }
        }
    ]
}

詳細については、「AWS Identity and Access Management ユーザーガイド」の「IAM ユーザーにアクセス許可を付与するロールを作成する」を参照してください。

ステップ 3: でカスタマーマネージドキーにオプトインするAWS IoT Core

前のすべてのステップを完了したら、update-encryption-configuration CLI コマンドを実行し、AWS IoT Core でカスタマーマネージドキーを使用してオプトインします。カスタマーマネージドキーにオプトインすると、AWSアカウント内のすべてのAWS IoT Coreリソースは指定されたAWS KMSキーを使用して暗号化されます。

ステップ 4: AWS IoT Coreコントロールプレーンオペレーションに必要な追加のアクセス許可

カスタマーマネージドキーにオプトインすると、AWSアカウントに属するすべてのAWS IoT Coreリソースは、提供された KMS キーで暗号化されます。すべてのコントロールプレーンオペレーションでは、AWS IoT Coreリソースに対する特定のオペレーションに必要なkms:Decryptアクセス許可に加えて、呼び出し元に KMS キーに対するアクセス許可が必要になりました。発信者に kms:Decrypt アクセス許可がなく、データの暗号化または復号化を必要とする API コール (GetPolicy など) を行った場合、発信者は UnauthorizedException を受け取ります。

たとえば、GetPolicy を呼び出す場合、API コールを成功させるには、カスタマーマネージド KMS キーに対する iot:GetPolicy と kms:Decrypt の両方のアクセス許可が必要です。

AWS KMSの アクセス許可 UpdateEncryptionConfiguration

UpdateEncryptionConfiguration API コールでは、カスタマーマネージドキーにオプトインしたり、キー設定を変更したりするために、KMS キーに対する次のAWS KMSアクセス許可が必要です。

AWS KMS他のすべてのコントロールプレーン APIsの アクセス許可

ほとんどのコントロールプレーン API では、カスタマーマネージドキーが有効になっている場合に kms:Decrypt アクセス許可が必要です。ただし、特定の API では、これらの追加のアクセス許可は必要ありません。

ステップ 5: キーの管理

AWS IoT Coreは、カスタマーマネージドキー設定を定期的にチェックして、暗号化および復号オペレーションに影響がないことを確認します。これらのヘルスチェックは 1 AWS IoT Core分に 1 回実行され、AWS KMSキーおよび関連する IAM ロールの両方にアクセスして、暗号化および復号オペレーションに使用する能力を検証します。

キーのヘルスに影響を与える可能性のあるお客様によるアクション

いくつかのお客様のアクションが引き金となって、キーのヘルスステータスが HEALTHY から UNHEALTHY に変わることがあります。

暗号化設定の更新

の暗号化設定を更新AWS IoT Coreして、あるカスタマーマネージドキーから別のカスタマーマネージドキーに変更するか、AWS所有キーとカスタマーマネージドキーの間で変更します。

設定を別のカスタマーマネージドキーに変更するには:

カスタマーマネージドキーから AWS所有キーに設定を変更するには:

aws iot update-encryption-configuration --encryption-type "AWS_OWNED_KMS_KEY"

一般的な障害シナリオとその影響

次の表は、キーが削除または非アクティブ化される一般的な障害シナリオを示しています。

予防とベストプラクティス

キーの偶発的な削除や非アクティブ化を防ぎ、サービス障害のリスクを最小限に抑えるには:

ステップ 6: キーヘルスのモニタリング

定期的なチェックAWS IoT Coreの実行の一環として、CloudWatch メトリクスとログが出力され、カスタマーマネージドキー設定のヘルスステータスが可視化されます。

AWS IoT Coreは、少なくとも 1 分に 1 回 CloudWatch にCMK.Healthメトリクスを出力します。メトリクスは、 がデータの暗号化と復号AWS IoT Coreに使用するカスタマーマネージドキーのヘルスステータスに関する情報を提供します。

この CMK.Health パラメータは以下の値を取ることができます。

AWS IoT Core暗号化キーのヘルスステータスが変更されると、 も AWS IoTV2 ログを出力します。これらのログは、ヘルスステータスの更新に関する追加の詳細を提供します。これらのログを表示するには、AWS IoTV2 ログを有効にする必要があります。HEALTHY ログは INFO レベルで出力され、UNHEALTHY ログは ERROR レベルで出力されます。ログレベルの詳細については、「ログレベル」を参照してください。

次の例は、カスタマーマネージドキーのヘルスステータスの更新を示すAWS IoT Coreために から出力される CloudWatch ログエントリです。

重要なヘルスステータスの変更を効果的にモニタリングして対応するには:

UNHEALTHY から HEALTHY へ変更

暗号化キーのステータスが から UNHEALTHYに更新されるとHEALTHY、 AWS IoT Coreは次の形式で AWS IoTV2 ログメッセージを出力します。

{
    "timestamp": "2017-08-10 15:37:23.476",
    "logLevel": "INFO",
    "traceId": "8421693b-f4f0-4e4a-9235-0cff8bab897d",
    "accountId": "111122223333",
    "status": "SUCCESS",
    "cmkStatus": "HEALTHY",
    "kmsKeyArn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "kmsAccessRoleArn": "arn:aws:iam::111122223333:role/myrole",
    "eventType": "CmkHealthCheck"
}

HEALTHY から UNHEALTHY へ変更

暗号化キーのステータスが から HEALTHYに更新されるとUNHEALTHY、 AWS IoT Coreは次の形式で AWS IoTV2 ログメッセージを出力します。

{
    "timestamp": "2017-08-10 15:37:23.476",
    "logLevel": "ERROR",
    "traceId": "8421693b-f4f0-4e4a-9235-0cff8bab897d",
    "accountId": "111122223333",
    "status": "FAILURE",
    "cmkStatus": "UNHEALTHY",
    "errorCode": "KMS_KEY_VALIDATION_ERROR / ROLE_VALIDATION_ERROR",
    "errorMessage": "Error message on why there was a failure",
    "kmsKeyArn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "kmsAccessRoleArn": "arn:aws:iam::111122223333:role/myrole",
    "eventType": "CmkHealthCheck"
}

AWS CloudTrailイベント

復号オペレーションの暗号化のための KMS キーAWS IoT Coreの使用状況をモニタリングすることもできます。 AWS IoT CoreはDescribeKey、KMS キーに対して Decrypt、ReEncrypt、、および GenerateDataKeyWithoutPlaintextオペレーションを行い、保管時に保存されているAWSアカウントに属するデータを暗号化/復号します。

DescribeKey、Decrypt、ReEncryptおよび GenerateDataKeyWithoutPlaintext には CloudTrail イベントがあります。これらのイベントは、カスタマーマネージドキーによって暗号化されたデータにアクセスAWS IoT Coreするために によって呼び出されるAWS KMSオペレーションをモニタリングします。

Decrypt の例

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "*********************",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "*****"
            },
            "attributes": {
                "creationDate": "2024-09-16T20:23:39Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "iot.amazonaws.com"
    },
    "eventTime": "2024-09-16T20:32:48Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "iot.amazonaws.com",
    "userAgent": "iot.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "kms-arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
            "aws-crypto-ec:vendor": "iot.amazonaws.com",
            "branch-key-id": "111122223333",
            "type": "branch:ACTIVE"
        },
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "responseElements": null,
    "requestID": "1afb6d98-8388-455d-8b48-e62c9e0cf7f4",
    "eventID": "b59a5f16-0d98-46d8-a590-0e040a48b39b",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}