JAWS-UG CLI専門支部 #58 KMS入門

1. JAWS-UG CLI #58
AWS Key Management Service
2016/8/15 Mon
Nobuhiro Nakayama

2. {
"name":"Nobuhiro Nakayama",
"company":"UCHIDAYOKO CO., LTD.",
"favorite aws services":[
"Directory Service",
"IAM",
"AWS CLI"
],
"certifications":[
"AWS Certified Solutions Architect-Professional",
"AWS Certified SysOps Administrator-Associate",
"Microsoft Certified Solutions Expert Server Infrastructure",
"Microsoft Certified Solutions Expert SharePoint",
"IPA Network Specialist",
"IPA Information Security Specialist"
]
}

3. AWS Key Management Serviceとは
2016/8/14 3

4. 詳細はこちら（参考資料）
• AWS Black Belt Tech シリーズ 2015 - AWS Key Management Service
• http://www.slideshare.net/AmazonWebServicesJapan/aws-black-belt-tech-aws-key-
management-service
• Black Belt Online Seminar AWS上の暗号化ソリューション
• http://www.slideshare.net/AmazonWebServicesJapan/black-belt-online-seminar-aws
2016/8/14 4

5. コマンド（１）
• alias
• create-alias
• delete-alias
• list-aliases
• update-alias
• crypt
• decrypt
• encrypt
• re-encrypt
• data-key
• generate-data-key
• generate-data-key-without-plaintext
• grant
• create-grant
• list-grants
• list-retirable-grants
• retire-grant
• revoke-grant
• key-deletion
• cancel-key-deletion
• schedule-key-deletion
• key-material
• delete-imported-key-material
• import-key-material
• get-parameters-for-import
2016/8/14 5

6. コマンド（２）
• key-policy
• get-key-policy
• list-key-policies
• put-key-policy
• key-rotation
• disable-key-rotation
• enable-key-rotation
• get-key-rotation-status
• key
• create-key
• describe-key
• disable-key
• enable-key
• list-keys
• update-key-description
• other
• generate-random
2016/8/14 6

7. 無料枠について
• APIリクエストに対する無料枠はあるが、CMK（Customer Master Key）に対する無料
枠は無い
• 削除保留中のステータスにしておけば費用は発生しなくなる。
（削除をキャンセルした場合、CMK は削除を予定されなかったものとして請求されます）
2016/8/14 7

8. ハンズオン
1. CMKの作成、ポリシーの設定
2. データの暗号化、復号化（一般ユーザ）
3. S3へのデータのアップロード、ダウンロード
（KMSを利用したServer-Side Encryption）
4. CMKのローテーション設定
5. CMKの無効化、有効化
6. CMKの削除
2016/8/14 8

9. ハンズオン
2016/8/14 9
AWS KMS
policy
Customer Master Key Data Key
+ =
+ =
decrypt
decrypt
encrypt
一般ユーザ管理ユーザ