AWS KMS が使えるのに気付いたので、早速試してみたメモ

re:invent で発表された、AWS Key Management Service が使えるようになっているのに気付いたので、早速使ってみることにしました。
このサービスは管理的には非常に重要でキーを安全に共有したいとか、キーがどれだっけ?とか、緊急の対処が必要なのにキーが見つからないとか、そういう状況に陥らないようにするために、こう言ったサービスが非常に重要だったりします。
サポートされているリージョンは以下の通りです。東京でも使えますね。

http://docs.aws.amazon.com/kms/latest/developerguide/regions.html

Region Name	Region	Endpoint	Protocol	Support Date
US East (Northern Virginia) Region	us-east-1	kms.us-east-1.amazonaws.com	HTTPS	11/12/2014
US West (Northern California) Region	us-west-1	kms.us-west-1.amazonaws.com	HTTPS	11/12/2014
US West (Oregon) Region	us-west-2	kms.us-west-2.amazonaws.com	HTTPS	11/12/2014
EU (Ireland) Region	eu-west-1	kms.eu-west-1.amazonaws.com	HTTPS	11/12/2014
EU (Frankfurt) Region	eu-central-1	kms.eu-central-1.amazonaws.com	HTTPS	11/12/2014
Asia Pacific (Singapore) Region	ap-southeast-1	kms.ap-southeast-1.amazonaws.com	HTTPS	11/12/2014
Asia Pacific (Sydney) Region	ap-southeast-2	kms.ap-southeast-2.amazonaws.com	HTTPS	11/12/2014
Asia Pacific (Tokyo) Region	ap-northeast-1	kms.ap-northeast-1.amazonaws.com	HTTPS	11/12/2014
South America (Sao Paulo) Region	sa-east-1	kms.sa-east-1.amazonaws.com	HTTPS	11/12/2014

対応しているサービスは以下の通りです。

• Amazon Redshift
• Amazon Simple Storage Service
• Amazon Elastic Block Store

データストアとして使うサービスで暗号化がサポートされているサービスは全て使えるようです。個人的な趣味としては、RDSのEBSでつかえるのかなぁというのが気になります。

それでは、早速、使ってみたいと思います。単独のサービスとしては、management console には表示されません。 IAM のメニューの一つとして、あります。

早速 Getting Started Now してみましょう。

なんだかわからないキーがポツンと一つだけあります。クリックしてみると、”Default master key that protects my EBS volumes when no other key is defined” とあるので、EBSを暗号化するときに利用する、デフォルトのキーのようです。EBS暗号化をすでに利用している人はうっかり消さないようにしましょう。実際 management console 上では消せないようにガードされているようです。

よく考えずに、Create Key してみます。

エイリアスを入力しなければいけないようなので、とりあえず適当な名前を入力します。

IAMユーザーの選択を求められたので、汎用に使っている adminitorator 権限（ようするに制限なし）のユーザーを選択しました。

もう一回 IAM ユーザーの選択を求められます。よく読むと、キーの管理者とキーの利用者を別に設定できるようです。これはセキュリティ的によく考えられた設計だと思います。でもここでは同じユーザーを選択しました。よろしくないですね。

こんな感じでキーのポリシーが作成されました。キーの管理者権限と、使用者権限が別に設定されています。

次に進むとこんな感じで、キーが作成されています。初期で作成されたキーは洗濯できなくて、新しく作成されたキーば選択可能になっています。キーの削除も可能なようです。

クリックするとこんな感じの画面になって、キーの管理者と使用者を指定できるようになっています。

キー自体をアップロードしたり、ダウンロードしたりはできないようです。

実際どのようなユースケースが想定されるでしょうか。

例えば、研究開発部門で極秘のプロジェクトが進行していて、同社内でも他部門には知られたくない研究データがあったとします。もちろ他社の産業スパイなどにも注意が必要です。そのデータはEBSに格納されています。KMSを利用して、権限を限定して、かつEBS暗号化を利用することで、同社内でもデータを利用することを制限することが可能です。

人事データや給与データなども該当するかもしれません。

もっと簡単なユースケースでは、例えば18禁ビデオと、それ以外でアクセス可能な権限を分けるとかw

何れにしてもセキュリティ管理的には重要な機能が追加されたと思います。