インポートされたキーマテリアルの保護

インポートしたキーマテリアルは、転送中も保管中も保護されます。キーマテリアルをインポートする前に、FIPS 140-3 暗号化モジュール検証プログラムで検証された AWS KMS ハードウェアセキュリティモジュール (HSMs」) します。キーマテリアルをラッピングパブリックキーで直接暗号化することも、キーマテリアルを AES 対称キーで暗号化してから、AES 対称キーを RSA パブリックキーで暗号化することもできます。

受信すると、 は AWS KMS HSM 内の対応するプライベートキーを使用してキーマテリアルを AWS KMS 復号し、HSM の揮発性メモリにのみ存在する AES 対称キーで再暗号化します。キーマテリアルがプレーンテキストで HSM 外に出ることはありません。使用中のみ、 AWS KMS HSMs。

キーマテリアルがインポートされた KMS キーの使用は、KMS キーに設定したアクセス制御ポリシーによってのみ特定されます。さらに、エイリアスとタグを使用して、KMS キーを識別し、KMS キーへのアクセスを制御できます。キーを有効化または無効化したり、表示したり、あるいは AWS CloudTrailのようなサービスを使用してモニタリングしたりすることができます。

ただし、キーマテリアルのフェイルセーフコピーはお客様のみが管理します。この追加のコントロール指標の見返りとして、インポートされたキーマテリアルの耐久性と全体的な可用性に責任があります。 AWS KMS は、インポートされたキーマテリアルを高可用性に保つように設計されています。ただし、 AWS KMS が AWS KMS 生成するキーマテリアルと同じレベルで、インポートされたキーマテリアルの耐久性は維持されません。

耐久性におけるこの相違は、次の場合に有意義です。

インポートされたキーマテリアルのコピーは、ユーザーが管理するシステムの の外部 AWS に保持する必要があります。インポートされたキーマテリアルのエクスポート可能なコピーを、HSM などのキーマネジメントシステムに保存しておくことをお勧めします。ベストプラクティスとして、KMS キー ARN と によって生成されたキーマテリアル ID への参照を、キーマテリアルのエクスポート可能なコピー AWS KMS とともに保存する必要があります。インポートしたキーマテリアルが削除されるか期限切れになった場合、同じキーマテリアルを再インポートするまで、関連付けられた KMS キーは使用できなくなります。インポートしたキーマテリアルが完全に失われた場合、KMS キーで暗号化された暗号文は回復できません。