外部キーストアの KMS キー - AWS Key Management Service

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

外部キーストアの KMS キー

外部キーストアで KMS キーを作成、表示、管理、使用し、削除をスケジュールするには、他の KMS キーに使用する手順と極めてよく似た手順を使用します。ただし、外部キーストアに KMS キーを作成する場合は、外部キーストアと外部キーを指定します。外部キーストアで KMS キーを使用すると、指定された外部キーにより、外部キーマネージャーが暗号化および復号オペレーションを実行します。

AWS KMS は、外部キーマネージャーで暗号化キーを作成、表示、更新、削除することはできません。また、AWS KMS が外部キーマネージャーや外部キーに直接アクセスすることはありません。暗号化オペレーションのリクエストはすべて、外部キーストアプロキシによって仲介されます。外部キーストアで KMS キーを使用するには、KMS キーをホストする外部キーストアを、外部キーストアプロキシに接続する必要があります。

サポートされている機能

このセクションで説明する手順に加えて、外部キーストアでは KMS キーを使用して次のことを実行できます。

サポートされていない 機能
外部キーストアで KMS キーを使用する

リクエストで KMS キーを使用すると、キー ID、キー ARN、エイリアス、エイリアス ARN により KMS キーを識別します。外部キーストアを指定する必要はありません。レスポンスには、対称暗号化 KMS キーについて返されるものと同じフィールドが含まれます。ただし、外部キーストアで KMS キーを使用すると、暗号化および複合化オペレーションは KMS キーに関連付けられた外部キーを使用して、外部キーマネージャーによって実行されます。

外部キーストアの KMS キーで暗号化された暗号文が標準の KMS キーで暗号化された暗号文と同等以上に安全であることを確認するために、AWS KMS は二重暗号化を使用します。データは最初に、AWS KMS キーマテリアルを使用して AWS KMS で暗号化されます。次に、KMS キーの外部キーを使用して、外部キーマネージャーによって暗号化されます。二重に暗号化された暗号文を復号するには、まず KMS キーの外部キーを使用して、外部キーマネージャーによって暗号文を復号します。次に、KMS キーの AWS KMS キーマテリアルを使用して、AWS KMS で復号します。

これを可能にするには、次の条件が必要です。

  • KMS キーのキーストアは Enabled である必要があります。キーの状態を検索するには、AWS KMS コンソールのカスタマーマネージドキーの [ステータス] フィールド、または DescribeKey レスポンスの KeyState フィールドを参照してください。

  • KMS キーをホストする外部キーストアは、その外部キーストアプロキシに接続する必要があります。つまり、外部キーストアの接続状態は CONNECTED である必要があります。

    接続状態は、AWS KMS コンソールの [External key stores] (外部キーストア) ページ、または DescribeCustomKeyStores レスポンスで確認できます。外部キーストアの接続状態は、AWS KMS コンソールの KMS キーの詳細ページにも表示されます。詳細ページで [Cryptographic configuration]　(暗号化設定) タブを選択し、[Custom key store] (カスタムキーストア) セクションの [Connection state] (接続状態) フィールドを確認します。

    接続状態が DISCONNECTED の場合、最初に接続する必要があります。接続状態が FAILED の場合、問題を解決してから外部キーストアを切断し、接続する必要があります。手順については、「外部キーストアを接続および切断する」を参照してください。

  • 外部キーストアプロキシが外部キーを検出できる必要があります。

  • 外部キーを有効にして、暗号化と復号を実行する必要があります。

    外部キーのステータスは、KMS キーの有効化や無効化など、KMS キーのキーステータスの変化とは無関係で、影響を受けません。同様に、外部キーを無効化または削除しても KMS キーのキーステータスは変わりませんが、関連する KMS キーを使用する暗号化オペレーションは失敗します。

これらの条件が満たされていない場合、暗号化オペレーションは失敗し、AWS KMS は KMSInvalidStateException 例外を返します。外部キーストアを再接続するか、外部キーマネージャーツールを使用して、外部キーを再設定または修復する必要がある場合があります。その他のヘルプについては、「外部キーストアのトラブルシューティング」を参照してください。

外部キーストアで KMS キーを使用する場合、各外部キーストアの KMS キーは、暗号化オペレーションでカスタムキーストアのリクエストクォータを共有することに注意してください。クォータを超えた場合、AWS KMS は ThrottlingException を返します。カスタムキーストアのリクエストクォータの詳細については、「カスタムキーストアのリクエストクォータ」を参照してください。

詳細