インポートされたキーマテリアルの保護

インポートしたキーマテリアルは、転送中も保管中も保護されます。キーマテリアルをインポートする前に、FIPS 140-3 暗号化モジュール検証プログラムで検証された AWS KMS ハードウェアセキュリティモジュール (HSM) で生成された RSA キーペアのパブリックキーでキーマテリアルを暗号化 (つまり「ラップ」) します。キーマテリアルをラッピングパブリックキーで直接暗号化することも、キーマテリアルを AES 対称キーで暗号化してから、AES 対称キーを RSA パブリックキーで暗号化することもできます。

受信すると、AWS KMS は、AWS KMS HSM 内の対応するプライベートキーを使用してキーマテリアルを復号し、HSM の揮発性メモリにのみ存在する AES 対称キーを使用して再暗号化します。キーマテリアルがプレーンテキストで HSM 外に出ることはありません。使用中と AWS KMS HSM 内でのみ復号されます。

キーマテリアルがインポートされた KMS キーの使用は、KMS キーに設定したアクセス制御ポリシーによってのみ特定されます。さらに、エイリアスとタグを使用して、KMS キーを識別し、KMS キーへのアクセスを制御できます。キーを有効化または無効化したり、表示したり、あるいは AWS CloudTrail のようなサービスを使用してモニタリングしたりすることができます。

ただし、キーマテリアルのフェイルセーフコピーはお客様のみが管理します。このような制御の手段が追加されていることに伴って、お客様には、キーマテリアルの耐久性と全体的な可用性に対する責任が発生します。AWS KMS は、インポートされたキーマテリアルの可用性を高めるように設計されています。ただし、AWS KMS では、インポートされたキーマテリアルの耐久性は、AWS KMS によって生成されたキーマテリアルと同じレベルでは維持されません。

耐久性におけるこの相違は、次の場合に有意義です。

インポートしたキーマテリアルのコピーは、お客様が管理するシステムにある AWS の外部に保持する必要があります。インポートされたキーマテリアルのエクスポート可能なコピーを、HSM などのキーマネジメントシステムに保存しておくことをお勧めします。ベストプラクティスとして、KMS キー ARN と AWS KMS によって生成されたキーマテリアル ID への参照をキーマテリアルのエクスポート可能なコピーとともに保存することが推奨されます。インポートしたキーマテリアルが削除されるか期限切れになった場合、同じキーマテリアルを再インポートするまで、関連付けられた KMS キーは使用できなくなります。インポートしたキーマテリアルが完全に失われた場合、KMS キーで暗号化された暗号文は回復できません。