Download to read offline
![[HIGOBASHI.AWS] AWS ネットワーク小ネタ祭り](https://cdn.slidesharecdn.com/ss_thumbnails/higobashi-180327221342-thumbnail.jpg?width=640&height=640&fit=bounds)
AWS KMSと鍵の話
- 1. Amazon KMS (Key ManagementService) uji52 AWS勉強会5分間LT資料 vol2
- 2. uji52 自己紹介 • uji52 • 好きなAWSサービス •Lambda • STS • 好きなスペック • OpenID Connect • 好きな署名アルゴリズム • RSA SHA-256 2
- 3.
- 4.
- 5. uji52 暗号化方式 • 公開鍵暗号 • 公開鍵を相手に渡して利用 •公開鍵暗号化してデータを渡す • 秘密鍵で署名してデータを渡す • 共通鍵暗号 • 同じ鍵で暗号化・復号化 5
- 6. uji52 公開鍵暗号の使いみち • 暗号化してデータを送信 • サーバ証明書 •SSH • 署名したのが自分だと証明 • JWT Tokenの署名 • SAML Responseの署名 6
- 7.
- 8.
- 9. uji52 よくやる内容 9 #RSAの秘密鍵を生成 $ openssl genrsa2048 > privkey #公開鍵生成する場合 $ openssl rsa -in privkey -pubout -out pubkey # 認証局への署名リクエスト(Certification Signing Request)を生成 # 自身が誰なのか説明するためにいろいろ入力 $ openssl req -new -key privkey > server.csr # 自身でリクエストの内容を見て署名する $ openssl x509 -days 3650 -req -signkey privkey < server.csr > server.crt
- 10. uji52 よくやる内容 1. 秘密鍵作って 2. 公開鍵の所有者明らかにして 3.その公開鍵に署名してもらって 4. その署名を公開する 10
- 11.
- 12.
- 13.
- 14.
- 15.
- 16.
- 17.
- 18.
- 19. uji52 AWS KMSをCLIで叩く • awskms create-key • マスターキーを作る • aws kms encrypt • マスターキーで暗号化する • aws kms decrypt • マスターキーで復号化する • aws kms generate-data-key • データキーを作る 19 使う場合には 「結果はBase64エンコードされている」 ということを覚えておくと吉
- 20. uji52 まとめ • マスターキーによる鍵管理 • マスターキーを年単位でローテート可 •マスターキーが盗まれることなんて… • AWSに乗っかる • 安定のフルマネージド • Lambda・EC2から共通呼び出し • 鍵利用の情報の管理 20
- 21.
- 22. uji52 よくやる内容 1. 秘密鍵作って 2. 公開鍵の所有者明らかにして 3.その公開鍵に署名してもらって 4. その署名を公開する 22
- 23.
- 24.
- 25. uji52 Public Key 25 Modulus Exponent $ opensslrsa -text -pubin < pubkey
- 26. uji52 Public Key 26 Data: Version Subject Subject PublicKey Info Public Key Algorithm Public-Key Modulus Exponent Attributes Signature Algorithm $ openssl req -text -noout -in server.csr ←公開鍵情報 ←自身の署名
- 27. uji52 Certificate 27 Certificate Data Version Serial Number Signature Algorithm Issuer Validity NotBefore Not After Subject $ openssl x509 -in server.crt -text Subject Public Key Info Public Key Algorithm Public-Key Modulus Exponent Signature Algorithm ↑CAの署名 ←CAの追記した情報署名