対称キー、非対称キー、マルチリージョンキー

KMS は対称キーと非対称キーの両方をサポートしています。

• 対称: 1 つのキーで暗号化と復号の両方を行います。
• 非対称: 公開キーと秘密キーのペアを使用します。

それぞれ適した用途が異なるため、正しく選択することが試験でよく問われます。

対称キーは、暗号化と復号の両方に 1 つの秘密キー (AES-256) を使用します。

• AWS におけるデフォルトであり、最も一般的な方式です。
• ほぼすべてのサービス統合 (S3、EBS、RDS) で対称キーが使用されます。

キーが KMS の外部に出ることはないため、両者はキーを共有するのではなく KMS を呼び出します。

非対称キーには、共有できる公開キーと、KMS 内に保持される秘密キーがあります。

暗号化と復号、または署名と検証をサポートします。AWS 外部の関係者が公開キーでデータを暗号化する必要がある場合や、KMS へのアクセスなしで署名を検証する必要がある場合に使用します。

次のような場合は非対称キーを選択してください。

• 呼び出し元が公開キーだけを持ち、データをAWS の外部で暗号化する必要がある場合。
• 真正性を証明するためにデジタル署名が必要な場合。

それ以外の場合は、対称キーの方がシンプルで、AWS サービスの暗号化におけるデフォルトの選択肢です。

各 KMS キーには、作成時に設定するキーの用途 (暗号化と復号、または署名と検証) とキー仕様 (アルゴリズム) があります。

署名用キーで暗号化することはできず、暗号化用キーで署名することもできません。これらの属性はキーの作成後に変更できないため、あらかじめ用途を決めておいてください。

対称カスタマーマネージドキーでは、KMS が基盤となるキーマテリアルを毎年自動的にローテーションできます。

• キー ID とエイリアスは同じままです。
• 古いキーマテリアルは、以前のデータを復号するために保持されます。

非対称キーは自動ローテーションをサポートしていません。

マルチリージョンキーは、プライマリキーと、他のリージョンにあるレプリカで構成され、同じキー ID とキーマテリアルを共有します。

あるリージョンで暗号化したデータを、リージョン間の KMS 呼び出しなしで別のリージョンのレプリカを使って復号できます。グローバルアプリケーションやディザスタリカバリをサポートします。

マルチリージョンキーは、次のようなシナリオに適しています。

• リージョン間のディザスタリカバリ。暗号化されたバックアップを別のリージョンでも使用する必要がある場合です。
• グローバルテーブルや、リージョン間でレプリケーションされるデータ。

1つのリージョンにとどまるデータには、標準的なシングルリージョンキーのほうがシンプルです。

KMSでは、独自のキーマテリアル（BYOK）を対称キーにインポートできます。

生成と保持を自分で管理できますが、自動ローテーションは利用できず、キーマテリアルの有効期限が切れた場合は再インポートが必要です。これは、AWSの外部で生成されたキーを必須とするポリシーに対応できます。

最も厳格な要件に対応する場合、カスタムキーストアでは、専用のCloudHSMクラスターまたは外部HSMによってKMSキーを保護します。

キー操作は自分で管理するハードウェア上で行いながら、使い慣れたKMS APIを引き続き利用できます。これは、厳格なコンプライアンス要件がある場合に限って使用します。

選択肢のまとめ：

• 日常的なAWSの暗号化には対称キー（デフォルト）。
• 外部での暗号化や署名には非対称キー。
• リージョン間の要件にはマルチリージョンキー。

シナリオ内のデータフローに合ったキータイプを選択します。

適切なキーを選択してください。

KMSのキータイプを比較しました。

• 対称キーはAWSのデフォルトです。非対称キーを使うと、外部での暗号化や署名が可能になります。
• マルチリージョンキーは、DRのためにリージョン間でキーマテリアルを共有します。
• 自動ローテーションは対称キーに適用されます。BYOKとカスタムキーストアは、厳格な要件に対応します。