保存データをKMSで暗号化する

認証、認可、ネットワーク境界、暗号化、秘密情報の保護を要件へ対応付ける。

AWS KMSのキーを使い、キーのポリシーで利用主体を制御する

KMSは暗号化キーを作成・管理し、キーポリシーで利用主体と操作を制御できる。

暗号化キーをS3オブジェクトと同じ平文ファイルへ保存する

キーを平文で保存すると、暗号化による保護を失う。

IAMポリシーだけでS3の暗号化データを復号する

IAMの許可に加え、KMSキーポリシーなど暗号鍵側の許可も必要である。

rootユーザーのパスワードを暗号化キーとして使う

root認証情報を暗号鍵として扱う設計は、キー管理と責任分離に反する。

AWS KMS

暗号化と署名に使うキーを作成・管理するマネージドサービス。

保存時暗号化

S3やEBSなど保存されたデータを暗号化する制御。