S3 SSE-KMSで、有効な対称暗号化用の顧客管理KMSキーを使っている。OriginはAWS_KMSで、自動ローテーションの管理権限と既存データの復号権限は準備済みである。
鍵素材を180日周期で更新し、アプリが使うキーID・ARNは維持したい。保存済みオブジェクトを書き直す要件はなく、キーの無効化・削除は行わない。
目的を満たす設定と確認はどれか。
対応する顧客管理キーの自動ローテーションを180日に設定し、キーIDと既存暗号文を維持する。
詳細解説
別キーの作成は元の鍵素材を引き継がない。元のキー削除は既存データの復号を失わせる可能性があり、同じキーIDを維持する要件も満たさない。
既定周期は365日である。180日要件ではRotationPeriodInDaysを明示し、返された設定値と次回日付を確認する。
ローテーションはKMSの現在の鍵素材を更新する。保存済みS3オブジェクトを自動で書き直す処理ではなく、既存暗号文には元の鍵素材を使う。
対応するAWS_KMS由来の対称暗号化キーなので周期を指定できる。鍵素材を更新してもキーIDは維持され、既存の暗号文には対応する旧鍵素材が使われる。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
公式API資料で対応するキー種別と周期範囲を確認する。承認された検証キーでEnableKeyRotationのRotationPeriodInDays=180を設定し、GetKeyRotationStatusのKeyRotationEnabled・RotationPeriodInDays・NextRotationDateを記録する。既存オブジェクトの読み取りも別に確認する。
参考にした公式資料
確認できる内容
設定はKeyRotationEnabled=true、RotationPeriodInDays=180となり、次回日付が確認できる。キーIDは維持され、既存オブジェクトは必要な権限で読み取れる。設定の確認だけで180日後のローテーション完了や既存データの再暗号化を主張しない。
理解のポイント
- AWS_KMS
- RotationPeriodInDays
- 鍵素材
確認時の注意
- 確認環境: AWS公式SOA-C03試験ガイドとAWS公式ドキュメントの確認
- AWS公式SOA-C03試験ガイドと各サービスの公式ドキュメントを確認する。
基礎のおさらい
対象キーと180日の設定を確認する
本問はOrigin=AWS_KMSの顧客管理の対称暗号化キーである。自動ローテーションは非対称・HMAC・インポート鍵素材・カスタムキーストアのキーには対応しない。周期は90〜2560日で、省略時は365日。180日要件に合わせRotationPeriodInDays=180を明示する。
鍵素材の更新と再暗号化を分ける
ローテーションは同じ論理キーの現在の鍵素材を更新し、キーID・ARNを維持する。既存暗号文の復号ではKMSが対応する旧鍵素材を選ぶ。保存済みS3オブジェクトの再暗号化や書き直しは自動で行われない。旧データを読めるかはキー状態と権限にも依存し、元のキーの削除をローテーションの代わりにしない。
設定値と完了実績を別々に確認する
GetKeyRotationStatusで有効状態、周期、次回日付を調べる。これは設定の確認であり、将来の更新がすでに完了した証跡ではない。完了した更新はListKeyRotations等で確認し、必要な権限で既存データを読み取る検証も分けて実施する。