翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# の耐障害性 AWS Key Management Service
<a name="disaster-recovery-resiliency"></a>

 AWS グローバルインフラストラクチャは、 AWS リージョン およびアベイラビリティーゾーンを中心に構築されています。 は、低レイテンシー、高スループット、高度に冗長なネットワークで接続された、物理的に分離および分離された複数のアベイラビリティーゾーン AWS リージョン を提供します。アベイラビリティーゾーンでは、アベイラビリティーゾーン間で中断せずに、自動的にフェイルオーバーするアプリケーションとデータベースを設計および運用することができます。アベイラビリティーゾーンは、従来の単一または複数のデータセンターインフラストラクチャよりも可用性、耐障害性、およびスケーラビリティが優れています。

グローバル AWS インフラストラクチャに加えて、 AWS KMS には、データの耐障害性とバックアップのニーズをサポートするのに役立ついくつかの機能が用意されています。 AWS リージョン およびアベイラビリティーゾーンの詳細については、[AWS 「 グローバルインフラストラクチャ](https://aws.amazon.com/about-aws/global-infrastructure/)」を参照してください。

## リージョンの隔離
<a name="regional-isolation"></a>

AWS Key Management Service (AWS KMS) は、すべての で利用可能なセルフサステインリージョンサービスです AWS リージョン。のリージョン別に分離された設計 AWS KMS により、1 つの の可用性の問題が他のリージョンの AWS KMS オペレーションに影響を与え AWS リージョン ないようにできます。 AWS KMS は、*計画されたダウンタイムをゼロ*にし、すべてのソフトウェア更新とスケーリングオペレーションをシームレスかつ目に見えない方法で実行できるように設計されています。

 AWS KMS [サービスレベルアグリーメント](https://aws.amazon.com/kms/sla/) (SLA) には、すべての KMS APIs。このコミットメントを実現するために、 AWS KMS は、API リクエストの実行に必要なすべてのデータと認可情報が、リクエストを受信するすべてのリージョンのホストで利用可能であることを確認します。

 AWS KMS インフラストラクチャは、各リージョンの少なくとも 3 つのアベイラビリティーゾーン (AZs) にレプリケートされます。複数のホスト障害が AWS KMS パフォーマンスに影響を与えないようにするために、 AWS KMS はリージョン内の任意の AZs からの顧客トラフィックを処理するように設計されています。

KMS キーのプロパティまたは許可に加えた変更は、リージョン内のすべてのホストにレプリケートされ、後続のリクエストがリージョン内の任意のホストで正しく処理されるようにします。KMS キーを使用した[暗号化オペレーション](kms-cryptography.md#cryptographic-operations)のリクエストは、 AWS KMS ハードウェアセキュリティモジュール (HSMs) のフリートに転送されます。いずれのモジュールも KMS キーを使用してオペレーションを実行できます。

## マルチテナント設計
<a name="multi-tenant"></a>

のマルチテナント設計 AWS KMS により、99.999% の可用性 SLA を満たし、キーとデータの機密性を保護しながら高いリクエストレートを維持できます。

暗号化オペレーションに指定した KMS キーが常に使用されるキーであることを保証するために、複数の整合性強制メカニズムがデプロイされます。

KMS キーのプレーンテキストキーマテリアルは、広範囲に保護されています。キーマテリアルは作成後すぐに HSM で暗号化され、暗号化されたキーマテリアルはセキュアで低レイテンシーのストレージに即座に移動されます。暗号化されたキーは、HSM 内で取得され、使用に間に合うように復号されます。プレーンテキストキーは、暗号化オペレーションを完了するのに必要な時間だけ HSM メモリに残ります。その後、HSM で再暗号化され、暗号化されたキーがストレージに返されます。プレーンテキストのキーマテリアルが HSM を離れることはありません。永続ストレージに書き込まれることもありません。

## での耐障害性のベストプラクティス AWS KMS
<a name="customer-action"></a>

 AWS KMS リソースの耐障害性を最適化するには、次の戦略を検討してください。
+ バックアップおよびディザスタリカバリ戦略をサポートするには、*マルチリージョンキー*を検討してください。これは、1 つの AWS リージョン で作成された KMS キーで、ユーザーが指定したリージョンにのみレプリケートされます。マルチリージョンキーを使用すると、プレーンテキストを公開することなく AWS リージョン (同じパーティション内) 間で暗号化されたリソースを移動し、必要に応じて任意の送信先リージョンでリソースを復号できます。関連するマルチリージョンキーは、同じキーマテリアルとキー ID を共有するため、相互運用可能ですが、高解像度のアクセスコントロールのための独立したキーポリシーがあります。詳細については、[AWS KMSのマルチリージョンキー](multi-region-keys-overview.md)を参照してください。
+ などのマルチテナントサービスでキーを保護するには AWS KMS、[キーポリシー](key-policies.md)や [IAM ポリシー](iam-policies.md)などのアクセスコントロールを使用してください。さらに、 を搭載した *VPC インターフェイスエンドポイント* AWS KMS を使用して にリクエストを送信できます AWS PrivateLink。これを行うと、Amazon VPC と 間のすべての通信 AWS KMS は、VPC に制限された専用 AWS KMS エンドポイントを使用して AWS ネットワーク内で完全に行われます。[VPC エンドポイントポリシー](https://docs.aws.amazon.com/vpc/latest/privatelink/interface-endpoints.html#edit-vpc-endpoint-policy)を使用して追加の認可レイヤーを作成することで、これらのリクエストをさらに保護できます。詳細については、「[VPC エンドポイント経由で AWS KMS に接続する](kms-vpc-endpoint.md)」を参照してください。