別アカウントのKMSキーで暗号化する

暗号化では、保存時・転送時、鍵の所有と利用、復号主体、マスキングの可逆性を分けて考える。

KMSキーポリシーとIAMを双方に設定し、必要ならGrantを使う

クロスアカウントKMS利用はキー policyと呼び出し元権限の両方が必要である。

KMSキーARNを知っていれば誰でも暗号化できる

KMSはキーARNだけでアクセスを許可しない。

KMSキーを公開する

KMSは鍵素材を公開しない。

S3 LifecycleでKMS権限を委譲する

Lifecycleは移行・削除機能である。