大きなデータをKMSキーで安全に暗号化する

認証、認可、暗号化、監査、境界防御の役割を整理する。

KMSへオブジェクト全体を毎回送って暗号化する

KMSはデータキーを使う設計が一般的で、アプリデータ全体を直接暗号化する用途ではない。

暗号化せずS3バケットを非公開にする

アクセス制御だけでは保存データの漏えい時に内容を保護できない。

KMSでデータキーを生成し、データキーで内容を暗号化して暗号化済みデータキーを保管する

エンベロープ暗号化で大きなデータを効率よく暗号化し、KMSキーによる鍵管理を利用できる。

Route 53のTXTレコードへ暗号鍵を保存する

DNSレコードは秘密鍵の安全な保管場所ではない。

AWS KMS

暗号化キーを作成・管理し、利用を監査するサービス。

データキー

実データの暗号化に使う対称鍵。