クロスアカウントでの暗号化したRDSのスナップショット利用には気をつけようという話 - LIVESENSE ENGINEER BLOG
これは Livesense Advent Calendar 2022 DAY 4 の記事です。 こんにちは。アルバイト事業部エンジニアの@mnmandahalfです。 今日は先日開催された社内LT大会で話したネタを記事にしてみたいと思います。 VPoEだけが追い出された？！エンジニアLT大会を開催した話 - LIVESENSE ENGINEER BLOG TL;DR クロスアカウントで暗号化したRDSスナップショットを共有するときはCMKで暗号化した方がベター CMKを作るときのキーポリシーに注意しよう やりたかったこと ざっくり説明すると、以下の通りです。 本番環境（以下、AWSのproductionアカウント）のDBデータをステージング環境（以下、AWSのstagingアカウント）に日次で同期して利用したい その際、個人情報等にアクセスできないようにマスキング処理（例：データの削除、改
Aurora のスナップショット（デフォルトKMSキーで暗号化されてる）を別アカウントに共有する 1 - Qiita
弊社では会社全体で１つのアカウントを共有していましたが「管理が面倒！どの部署がどれを使っているのかさっぱり分からん！」という苦情が増えてきたため、部署ごとにアカウントを分ける事になり Aurora 移行の作業を振られたため手順をまとめました。 AWS マニュアルを確認 マニュアル見てると手動スナップショットを共有するだけっぽいので簡単だな！と思っていましたが当然そんなに上手く行かず…デフォルトKMSキーで暗号化されていたため、別アカウントへの共有が不可になっていました。あと KMS キーも別途発行して別アカウントに共有しておく必要があるっぽい。 デフォルトの Amazon RDS 暗号化キーを使用しない、暗号化された手動スナップショットは共有できます。ただし、まず AWS Key Management Service (AWS KMS) キーを、スナップショットを共有するアカウントと共有す
AWS CloudHSMで秘密鍵のインポートとエクスポートしてみた | DevelopersIO
秘密鍵の管理どうしようかな こんにちは、のんピ(@non____97)です。 皆さんは秘密鍵の管理をどうしようかなと思ったことはありますか? 私はあります。 IAM Roles Anywhereを使うにあたって秘密鍵の管理が重要になります。 ...ということで、AWSの最強の鍵管理マネージドサービスであるAWS CloudHSMを使ってみようと思います。 CloudHSMのユースケースにも秘密鍵の管理が例として紹介されています。 ** 発行認証局 (CA) 向けのプライベートキーの保護 ** 公開鍵基盤 (PKI) では、認証局 (CA) がデジタル認証を発行する信頼されたエンティティです。このようなデジタル認証は、個人または組織を識別するために使用されます。AWS CloudHSM を使用すると、プライベートキーを保存し、自社の認証を発行する発行 CA として安全に機能することができるよ
AWS CloudHSMってなんだろ？
AWS CloudHSM（法令遵守のためのハードウェアベースキーストレージ）| AWS 概要 クラウドベースのハードウェアセキュリティモジュール (HSM) 暗号化キーを簡単に生成して使用できる FIPS 140-2 のレベル 3 認証済みの HSM を使用して、暗号化キーを管理 業界標準の API を使用して、アプリケーションを柔軟に統合できる 完全マネージド型 メリット FIPS 140-2 レベル 3 認証済みの HSM に暗号化キーを生成および使用 セキュアでコンプライアンスに準拠したワークロードのデプロイ 業界標準で構築されたオープン HSM の使用 暗号化キーの制御の維持 簡単な管理とスケール AWS KMS キーの制御 仕組み A AWS では、HSMアプライアンスが管理されるが、キーへのアクセス権は持たない B ユーザーは自分のキーを制御して、管理する C アプリケーション
サーバー側の暗号化によるデータの保護 - Amazon Simple Storage Service
Amazon S3 では、Amazon S3 内のすべてのバケットの基本レベルの暗号化として、Amazon S3 が管理するキー (SSE-S3) によるサーバー側の暗号化が適用されるようになりました。2023 年 1 月 5 日以降、Amazon S3 にアップロードされるすべての新しいオブジェクトは、追加費用なしで、パフォーマンスに影響を与えずに自動的に暗号化されます。S3 バケットのデフォルト暗号化設定と新しいオブジェクトのアップロードのための自動暗号化ステータスは、AWS CloudTrail ログ、S3 インベントリ、S3 ストレージレンズ、Amazon S3 コンソール、および AWS Command Line Interface と AWS SDK の追加の Amazon S3 API レスポンスヘッダーとして利用できるようになりました。詳細については、「デフォルトの暗号化の
AWS KMS S3バケットをSSE-KMSで暗号化しファイルのアップロード・ダウンロードするときにKMSへ必要なIAMポリシーを確認してみた | DevelopersIO
AWS KMS S3バケットをSSE-KMSで暗号化しファイルのアップロード・ダウンロードするときにKMSへ必要なIAMポリシーを確認してみた SSE-KMS暗号化したS3バケットに対してファイルのアップロード、ダウンロードに必要なIAMポリシーを考えていました。S3バケットへの操作権限と、KMSのキーポリシーがデフォルトの場合はSSE-KMS暗号化したS3バケットの場合はKMSへの操作権限も必要です。KMSに必要なIAMポリシーについて失敗した例を元にKMSのIAMポリシーに着目した覚書です。 書き残したかったこと ファイルのアップロードは暗号化するためにkms:Decryptと、kms:GenerateDataKeyの2つ許可が必要です。 ファイルのダウンロードは復号するためにkms:Decryptの許可が必要です。 IAMポリシーサンプル Sample IAM policy { "V
Amazon Redshift データベース暗号化 - Amazon Redshift
Amazon Redshift では、クラスターに対してデータベースの暗号化を有効にして、保管中のデータを保護できます。クラスターに対して暗号化を有効にすると、クラスターとそのスナップショットのデータブロックとシステムメタデータが暗号化されます。 クラスターの起動時に暗号化を有効にすることも、暗号化されていないクラスターを AWS Key Management Service (AWS KMS) 暗号化を使用するように変更することもできます。そのためには、AWS 管理キーまたはカスタマー管理キーのどちらかを使用できます。クラスターを変更して AWS KMS 暗号化を有効にすると、Amazon Redshift は自動的にデータを新たな暗号化されたクラスターに移行します。暗号化されたクラスターから作成されたスナップショットも暗号化されます。また、クラスターを変更して データベースの暗号化 オ
AWS KMS (SSE−KMS) によるサーバー側の暗号化の指定 - Amazon Simple Storage Service
Amazon S3 では、Amazon S3 内のすべてのバケットの基本レベルの暗号化として、Amazon S3 が管理するキー (SSE-S3) によるサーバー側の暗号化が適用されるようになりました。2023 年 1 月 5 日以降、Amazon S3 にアップロードされるすべての新しいオブジェクトは、追加費用なしで、パフォーマンスに影響を与えずに自動的に暗号化されます。S3 バケットのデフォルト暗号化設定と新しいオブジェクトのアップロードのための自動暗号化ステータスは、AWS CloudTrail ログ、S3 インベントリ、S3 ストレージレンズ、Amazon S3 コンソール、および AWS Command Line Interface と AWS SDK の追加の Amazon S3 API レスポンスヘッダーとして利用できるようになりました。詳細については、「Default en
AWS再入門 – Amazon KMS編 | DevelopersIO
当エントリはDevelopers.IOで弊社AWSチームによる2015年アドベントカレンダー『AWS サービス別 再入門アドベントカレンダー 2015』の5日目のエントリです。 昨日4日目のエントリはしんやの『Amazon Redshift 』でした。 このアドベントカレンダーの企画は、普段AWSサービスについて最新のネタ・深い/細かいテーマを主に書き連ねてきたメンバーの手によって、今一度初心に返って、基本的な部分を見つめ直してみよう、解説してみようというコンセプトが含まれています。 本日5日目のテーマは『Amazon Key Management Service』です。 Amazon KMSとは Amazon Key Management Service(AWS KMS)はデータの暗号化に使用する暗号化キーを簡単に作成および管理できるマネージドサービスです。 以下のような特徴があります
AWS KMS のマルチリージョンキー - AWS Key Management Service
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 AWS KMS のマルチリージョンキー AWS KMS では、複数のリージョンで同じキーのように相互使用ができる、異なる AWS リージョン の AWS KMS keys であるマルチリージョンキーをサポートします。関連するマルチリージョンキーセットごとに、同じキーマテリアルおよびキー ID があるため、1つの AWS リージョン でデータを暗号化し、再暗号化や AWS KMS へのクロスリージョン呼び出しを行うことなく、異なる AWS リージョン で復号できます。 すべての KMS キーと同様に、マルチリージョンキーは AWS KMS を暗号化されないままにしません。暗号化または署名用の対称または非対称のマルチリージョンキーを作成する、HMAC タグの生成と検証用
CMK暗号されたAMIをクロスアカウント共有してみた | DevelopersIO
暗号化されたEBSのAMIをアカウント共有する場合、AMIそのものの共有だけでなく、暗号鍵(CMK)も共有します。 セキュリティ要件のために、Amazon EBSをAWS Key Management Service (AWS KMS) のカスタマーマスターキー(CMK)で暗号化することがあります。 そのようなEBSを含むEC2インスタンスをAMI経由でアカウント間共有する方法についてご紹介します。 ポイント CMK暗号されたEBSを含むAMIをアカウント間共有する際のポイントは次の3点です。 1. AMIとEBSの関係 AMIはEBSボリュームのスナップショットとインスタンスを構成する管理情報を含む起動テンプレートのようなものです。 EBSがCMKで暗号化されている場合、同スナップショットも同じ鍵で暗号化されています。 この場合、AMIを共有するだけでなく、暗号化されたEBSスナップショ
AWS CLI と KMS を使って機密ファイルを暗号化する | はったりエンジニアの備忘録
AWS Key Management Service (KMS) は暗号化キーを簡単に作成・管理できるマネージド型サービスですが、これまでは EBS や RDS のように AWS サービスに統合された用途でしか使ったことがありませんでした。 今回は機密ファイルの耐タンパー性を確保するために KMS を使ってファイルを暗号化してみます。 検証なので次のようなプレーンテキストを暗号化してみます。 $ echo 'Hello, world!' > plaintext-file.txt $ cat plaintext-file.txt Hello, world! AWS CLI で暗号化する まず KMS のマスターキーのエイリアス名を確認します。 alias/aws/* は AWS サービスに統合されたキーで、alias/test_key が検証用に作ったマスターキーです。 list-alias
KMSで認証情報を暗号化しLambda実行時に復号化する ｜ Developers.IO
データベースやAPIサーバーなど外部システムと連携する際には、往々にして認証情報が必要になります。 今回は AWS Key Management Service (以下 KMS) の共通鍵暗号の仕組みを使い、暗号化した認証情報を AWS Lambda 関数のコードに埋め込み、関数呼び出し時に認証情報を復号化する方法を紹介します。 基本的なアイデアは次のブログで書かれており、KMS を使った暗号化処理だけを自分向けメモも兼ねて抜き出しました。 http://ijin.github.io/blog/2015/08/06/github-to-lambda-to-slack/ KMS ではマスターキーを使って暗号・復号する処理が API で切り出されているため、この API を使って認証情報を暗号化します。 KMS と Lambda の連携 以下の流れで動作確認します。 AWS KMSマスターキー
Amazon Elastic Block Store (Amazon EBS) が AWS KMS を使用する方法 - AWS Key Management Service
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 Amazon Elastic Block Store (Amazon EBS) が AWS KMS を使用する方法 このトピックでは、Amazon Elastic Block Store (Amazon EBS) が AWS KMS を使用してボリュームとスナップショットを暗号化する方法の詳細を説明します。Amazon EBS ボリュームの暗号化に関する基本的な手順については、「Amazon EBS 暗号化」を参照してください。 Amazon EBS 暗号化 暗号化された Amazon EBS ボリューム をサポートされている Amazon Elastic Compute Cloud（Amazon EC2）インスタンスタイプ にアタッチすると、ボリュームに保存された
よくある質問 - AWS CloudHSM | AWS
Q: AWS CloudHSM とは何ですか? AWS CloudHSM サービスを使用すると、AWS クラウド内の専用ハードウェアセキュリティモジュール (HSM) インスタンスを使用して、データセキュリティに対する企業コンプライアンス要件、契約上のコンプライアンス要件、法令遵守の要件を満たすことができます。AWS および AWS Marketplace のパートナーにより、AWS プラットフォーム内の重要データを保護するためのさまざまなソリューションが用意されていますが、暗号キーの管理に関して契約上または法令上の義務が課せられたアプリケーションやデータに対しては、追加の保護が必要になることもあります。AWS CloudHSM は既存のデータ保護ソリューションを補完する役割を果たし、HSM 内での暗号キー保護を可能にします。HSM は安全なキー管理に対する米国政府標準規格に適合するように
AWS KMS と CloudHSMの違い
作成日：2020/01/29 このページでは AWS における "KMS(Key Management System)" 、 "CloudHSM(hardware security module)" 、 "ユーザの暗号化キー持ち込み" 、"AWS サービスの暗号化" の違いに関して説明します。 "KMS(Key Management System)" 、 "CloudHSM"は暗号化キーを管理できるサービスです。これらにはどのように違いがあるのでしょうか。 "KMS(Key Management System)" 、 "CloudHSM"の大きな違いは管理の厳密性です。CloudHSMはあなた専用のハードウェアで暗号化キーを保管します。物理的に他の組織はアクセスできません。一方でKMSはクラウドらしくシステムを共有します。もちろんシステム的に他の組織はアクセスできないはずですが、Cloud
よくある質問 - AWS Key Management Service | AWS
以下のよくある質問は、Sinnet により運営される AWS 中国 (北京) リージョンおよび NWCD により運営される AWS 中国 (寧夏) リージョンの AWS Key Management Service (KMS) には適用されません。これら 2 つの中国リージョンに関連するコンテンツについては、こちらのよくある質問のリンクを参照してください。 AWS KMS は、暗号化操作に使用されるキーを簡単に作成および管理できるマネージドサービスです。このサービスは、可用性の高いキーの生成、保管、管理、監査ソリューションを提供し、独自のアプリケーション内でデータの暗号化やデジタル署名を行うことや、AWS のサービス全体でデータの暗号化を管理できます。 AWS のサービス全体でデータを保護する責任がある場合は、このサービスを使用して、データへのアクセスをコントロールする暗号化キーを一元管理
AWS Key Management Service（マネージド型の暗号化キー作成と管理）| AWS
この図は、AWS Key Management Service の主な機能と、他の AWS のサービスとの可能な統合を示しています。3 つのセクションを表示します。 最初のセクションには、「AWS KMS」というタイトルと、AWS KMS のアーキテクチャアイコンのイラスト、そして「データを保護する暗号化キーの作成と管理」というテキストが表示されます。 右側には「KMS キーを作成」というタイトルのボックスが表示され、「KMS キーは FIPS 140 Validated HSMs から暗号化されずに放置することはなく、誰がアクセスし使用できるかを制御します」というテキストが表示されています。 右側には「暗号化操作」という別の見出しがあり、「暗号化操作で KMS キーを使用する」という説明文が書かれています。 この最初のセクションには、さらに AWS KMS の主要な機能がリストアップされ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - cloudposse/terraform-aws-kms-key: Terraform module to provision a KMS key with alias
aws kms decrypt InvalidCiphertextException error · Issue #1043 · aws/aws-cli