S3、EBS、RDSの保存時暗号化

保管時の暗号化は、ディスクに保存されたデータを保護し、盗難されたメディアやスナップショットを読み取れないようにします。

AWSのストレージサービスはKMSと統合され、データを透過的に暗号化します。アプリケーションからは通常のデータに見えますが、内部では暗号化が自動的に行われます。

Amazon S3には、サーバー側の暗号化（SSE）オプションがいくつかあります。

• SSE-S3：キーをS3が完全に管理します（AES-256）。現在のデフォルトです。
• SSE-KMS：キーをKMSで管理し、監査とアクセス制御を利用できます。
• SSE-C：各リクエストでユーザーがキーを提供します。

必要な管理レベルに応じてSSEモードを選択します。

• CloudTrailとキーポリシーによる監査とキーアクセス制御が必要な場合はSSE-KMS。
• シンプルで自動的な暗号化にはSSE-S3。
• キーを自分で保持する必要がある場合はSSE-C。

SSE-KMSではオブジェクトごとにKMSを呼び出すため、大規模になるとコストがかかります。S3バケットキーを使うと、この回数を大幅に減らせます。

短期間使用するバケットレベルのデータキーで多数のオブジェクトを処理し、KMSを利用した暗号化を維持しながら、KMSリクエストとコストを最大99%削減できます。

EBS（Elastic Block Store）ボリュームは、KMSで暗号化できます。

• 暗号化の対象は、ボリューム、そのスナップショット、およびボリュームとインスタンス間で転送されるデータです。
• EC2インスタンスからは透過的に処理され、パフォーマンスへの影響はほとんどありません。

既存の暗号化されていないEBSボリュームを直接暗号化することはできません。代わりに、次の手順を実行します。

• スナップショットを作成し、暗号化を有効にしてコピーしてから、暗号化されたコピーから新しいボリュームを作成します。

アカウントまたはリージョンレベルでデフォルトのEBS暗号化を有効にすると、新しい暗号化されていないボリュームの作成を防げます。

RDS（Relational Database Service）は、KMSを使ってデータベースストレージ、自動バックアップ、リードレプリカ、スナップショットを暗号化します。

• 暗号化は作成時に設定する必要があります。
• 既存の暗号化されていないインスタンスを暗号化するには、スナップショットから暗号化されたコピーを復元します。

試験で重要なポイントは、暗号化の状態がスナップショットに引き継がれることです。

• 暗号化されたボリュームまたは DB のスナップショットは、同じキーで暗号化されます。
• 暗号化されたスナップショットをアカウント間で共有するには、KMS key も共有する必要があります。

ほとんどのストレージおよびデータベースサービスは、保存時の KMS 暗号化をサポートしています。対象には次のサービスが含まれます。

• DynamoDB, EFS, Redshift, SQS, SNS, and Secrets Manager。

基本的な流れは一貫しています。KMS key を選択すると、サービスがエンベロープ暗号化を透過的に処理します。

暗号化によって処理が遅くなるのではないかと心配する方は少なくありません。実際には、EBS、S3、RDS での KMS による暗号化は透過的で、パフォーマンスへの影響は無視できる程度です。

アプリケーションのコードを変更する必要はありません。サービスが内部で暗号化している間も、アプリケーションは通常どおり読み書きできます。したがって、パフォーマンスを理由にデータを暗号化しないという選択は不要です。

次の機能を使用して、暗号化を検証および適用します。

• s3-bucket-server-side-encryption-enabled や encrypted-volumes などの AWS Config rules。
• 暗号化されていないリソースを検出する Security Hub standards。

これらにより、暗号化されていない状態で作成されたリソースを継続的に検出できます。

適切な S3 オプションを選択してください。

保存時の暗号化について学びました。

• S3 は SSE-S3、SSE-KMS、SSE-C を提供し、バケットキーによって KMS のコストを削減できます。
• EBS and RDS は KMS を使用します。暗号化は作成時に設定され、スナップショットにも引き継がれます。
• Config rules と Security Hub によって、あらゆる場所の暗号化を検証できます。