091-AWS SAP AWS 「理論・実践・一問道場」SSE-S3

type

status

date

slug

summary

理論

1. Amazon S3の暗号化オプション

Amazon S3は、データを保護するために暗号化機能を提供しています。主に2つの方法があります：

SSE-S3 (Server-Side Encryption with S3 Managed Keys)

AWSが管理する暗号化キー（S3管理キー）を使用して、データを暗号化します。設定が簡単で、追加のキー管理の手間がかかりません。

SSE-KMS (Server-Side Encryption with AWS Key Management Service)

より高度なセキュリティが求められる場合、AWS KMSを利用してユーザーが管理するカスタムキーを使って暗号化します。KMSを使用することで、暗号化キーの管理やアクセス制御を細かく設定できますが、設定が複雑になります。

2. 暗号化の適用方法

新規オブジェクトの暗号化: S3に新しくアップロードされるオブジェクトに暗号化を適用するには、バケットの設定で暗号化オプションを選択します。これにより、アップロード時に自動的に暗号化が適用されます。

既存オブジェクトの暗号化: 既存のオブジェクトには、バケット設定で「SSE-S3」または「SSE-KMS」を有効にしても、新しい暗号化方式は適用されません。そのため、既存オブジェクトには手動で暗号化を適用する必要があります。これには、AWS CLIやS3バッチ操作を利用して、オブジェクトを同じ場所にコピーしながら暗号化する方法が一般的です。

3. S3バッチ操作

S3バッチ操作は、大量のオブジェクトを効率的に操作するための機能で、オブジェクトのコピーや暗号化、タグ付け、削除などの一括処理をサポートします。この操作により、大規模なS3バケットの管理が効率的になります。

4. AWS KMSの役割

AWS KMSは暗号化キーの管理サービスで、SSE-KMSを使ってS3バケットのデータを暗号化する際に使用します。KMSは、キーの作成、管理、権限設定を行い、キーアクセスを制御できますが、その分設定や運用の手間が増えます。

結論

SSE-S3は簡単で運用効率が高いですが、カスタマイズ性が低い。

SSE-KMSはセキュリティ要件が高い場合に適していますが、管理が複雑です。

運用の簡便さを重視する場合はSSE-S3が最適です。

実践

略

一問道場

問題 #91

ある企業は、2つの異なるビジネスユニットから構成されています。各ビジネスユニットは、AWS Organizations内で単一の組織内の異なるAWSアカウントを持っています。ビジネスユニット間では、機密文書を頻繁に共有しています。このため、企業は各アカウント内にAmazon S3バケットを作成し、バケット間で低レベルのレプリケーションを設定しました。S3バケットには数百万のオブジェクトがあります。

最近のセキュリティ監査で、どちらのS3バケットにも静止データの暗号化が有効になっていないことが確認されました。企業のポリシーでは、すべての文書は静止データの暗号化が施されている必要があります。企業は、**Amazon S3管理の暗号化キー（SSE-S3）**を使用してサーバーサイド暗号化を実施したいと考えています。

最も運用効率の良い解決策はどれですか？

選択肢

A. 両方のS3バケットでSSE-S3を有効にします。S3バッチ操作を使用して、オブジェクトを同じ場所にコピーして暗号化します。

B. 各アカウントにAWS Key Management Service（AWS KMS）キーを作成します。各S3バケットで、対応するAWSアカウントのKMSキーを使用してサーバーサイド暗号化（SSE-KMS）を有効にします。AWS CLIでS3コピーコマンドを使用して、既存のオブジェクトを暗号化します。

C. 両方のS3バケットでSSE-S3を有効にします。AWS CLIでS3コピーコマンドを使用して、既存のオブジェクトを暗号化します。

D. 各アカウントにAWS Key Management Service（AWS KMS）キーを作成します。各S3バケットで、対応するAWSアカウントのKMSキーを使用してサーバーサイド暗号化（SSE-KMS）を有効にします。S3バッチ操作を使用して、オブジェクトを同じ場所にコピーします。

解説

この問題は、AWSのS3バケットで静止データの暗号化を適用する方法に関するものです。企業は、機密文書を保存するためにS3を使用しており、監査で「静止データの暗号化」が有効でないことが発覚しました。企業のポリシーでは、すべての文書に暗号化が必要です。AWSで提供される暗号化方式には「SSE-S3」と「SSE-KMS」があり、それぞれの方法で適用できるソリューションを考える必要があります。

各選択肢の解説

A. 両方のS3バケットでSSE-S3を有効にします。S3バッチ操作を使用して、オブジェクトを同じ場所にコピーして暗号化します。

解説: これは「SSE-S3」を使用してオブジェクトを暗号化する方法です。S3バッチ操作を使用して、既存のオブジェクトを同じ場所にコピーして暗号化します。この方法は運用効率が高く、オブジェクトを一括で暗号化できるため、最も効率的な方法の一つです。

利点: SSE-S3は、AWS管理のキーを使用するため、AWS KMSの設定や管理が不要です。S3バッチ操作により、複数のオブジェクトを一度に処理でき、手動の操作を最小限に抑えられます。

解説: これは「SSE-KMS」を使用して暗号化を行う方法です。SSE-KMSでは、ユーザーが管理するキーを使用して暗号化を行うため、キー管理が可能です。AWS CLIでオブジェクトをコピーして暗号化しますが、この方法は手動での作業が増えるため、運用の効率は低くなります。

問題点: KMSを使用する場合、キー管理や権限の設定など、追加の手間がかかります。

C. 両方のS3バケットでSSE-S3を有効にします。AWS CLIでS3コピーコマンドを使用して、既存のオブジェクトを暗号化します。

解説: これは「SSE-S3」を有効にしてオブジェクトを暗号化する方法です。しかし、既存のオブジェクトの暗号化をAWS CLIを使って手動で行う必要があります。手動でコマンドを入力する手間がかかり、非効率です。

問題点: 既存オブジェクトの暗号化を手動で行うため、運用効率が低いです。

解説: これは「SSE-KMS」を使用してオブジェクトを暗号化する方法です。S3バッチ操作を使ってオブジェクトを一括で暗号化できますが、SSE-KMSの場合、KMSキーの管理が必要になります。運用効率はSSE-S3よりも低くなりがちです。

問題点: KMSの設定が必要であり、SSE-S3を使用するよりも設定が複雑です。

最適な解決策は「A」

理由:

SSE-S3は、AWS管理の暗号化キーを使用し、追加のキー管理を必要としません。

S3バッチ操作を使用して既存のオブジェクトを一括で暗号化できるため、運用効率が非常に高いです。

SSE-KMSを使用する場合、キー管理の設定や追加の操作が必要になるため、SSE-S3に比べて複雑です。

したがって、Aが最も運用効率が良く、要件に最適です。