AWS KMSでEC2・RDS・S3の暗号化基盤を設計する方法｜CMK設計・キーポリシー・データキー階層の実践パターン

この記事のポイント

・AWS KMSには「AWSマネージドキー」「CMK」「データキー」の3層構造がある
・CMKはキーポリシーとIAMポリシーの両方が揃って初めてアクセスできる
・EC2 EBSのデフォルト暗号化はアカウント・リージョン単位で一括有効化できる
・キーローテーションはCMKで年1回の自動ローテーションを必ず有効にする

# EBS用CMKを作成
$ aws kms create-key \
    --description "prod-ebs-cmk" \
    --key-usage ENCRYPT_DECRYPT \
    --key-spec SYMMETRIC_DEFAULT \
    --region ap-northeast-1

# 出力例
{
    "KeyMetadata": {
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Arn": "arn:aws:kms:ap-northeast-1:123456789012:key/1234abcd-...",
        "KeyState": "Enabled",
        "KeyUsage": "ENCRYPT_DECRYPT"
    }
}

# エイリアスを設定
$ aws kms create-alias \
    --alias-name alias/prod/ebs \
    --target-key-id 1234abcd-12ab-34cd-56ef-1234567890ab

# エイリアス一覧で確認
$ aws kms list-aliases --query 'Aliases[?starts_with(AliasName,`alias/prod`)]'

# キーポリシーの基本テンプレート（key-policy.json）
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Enable IAM User Permissions",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "Allow key administrators",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/KMSAdminRole"
      },
      "Action": [
        "kms:Create*", "kms:Describe*", "kms:Enable*",
        "kms:List*", "kms:Put*", "kms:Update*",
        "kms:Revoke*", "kms:Disable*", "kms:Get*",
        "kms:Delete*", "kms:ScheduleKeyDeletion", "kms:CancelKeyDeletion"
      ],
      "Resource": "*"
    },
    {
      "Sid": "Allow EBS encryption use",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/EC2InstanceRole"
      },
      "Action": [
        "kms:Encrypt", "kms:Decrypt",
        "kms:ReEncrypt*", "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }
  ]
}

# キーポリシーを適用
$ aws kms put-key-policy \
    --key-id alias/prod/ebs \
    --policy-name default \
    --policy file://key-policy.json

# 適用後の確認
$ aws kms get-key-policy \
    --key-id alias/prod/ebs \
    --policy-name default \
    --output text

# EBSデフォルト暗号化を有効化（リージョン単位）
$ aws ec2 enable-ebs-encryption-by-default \
    --region ap-northeast-1

# 出力例
{
    "EbsEncryptionByDefault": true
}

# デフォルトCMKを自社CMKに変更
$ aws ec2 modify-ebs-default-kms-key-id \
    --kms-key-id alias/prod/ebs \
    --region ap-northeast-1

# 設定確認
$ aws ec2 get-ebs-default-kms-key-id --region ap-northeast-1
{
    "KmsKeyId": "arn:aws:kms:ap-northeast-1:123456789012:key/1234abcd-..."
}

# 未暗号化スナップショットを暗号化コピー
$ aws ec2 copy-snapshot \
    --source-region ap-northeast-1 \
    --source-snapshot-id snap-0123456789abcdef0 \
    --encrypted \
    --kms-key-id alias/prod/ebs \
    --region ap-northeast-1

# 出力例
{
    "SnapshotId": "snap-0fedcba9876543210"
}

# スナップショットの暗号化状態を確認
$ aws ec2 describe-snapshots \
    --snapshot-ids snap-0fedcba9876543210 \
    --query 'Snapshots[].{ID:SnapshotId,Encrypted:Encrypted,KmsKeyId:KmsKeyId}'

# 暗号化有効でRDSインスタンスを作成
$ aws rds create-db-instance \
    --db-instance-identifier prod-mysql \
    --db-instance-class db.t3.medium \
    --engine mysql \
    --master-username admin \
    --master-user-password "$(aws secretsmanager get-secret-value --secret-id prod/db-password --query SecretString --output text)" \
    --storage-encrypted \
    --kms-key-id alias/prod/rds \
    --allocated-storage 100 \
    --region ap-northeast-1

# 既存DBのスナップショットを暗号化コピー
$ aws rds copy-db-snapshot \
    --source-db-snapshot-identifier prod-mysql-snapshot \
    --target-db-snapshot-identifier prod-mysql-snapshot-encrypted \
    --kms-key-id alias/prod/rds

# 暗号化スナップショットから新DBとして復元
$ aws rds restore-db-instance-from-db-snapshot \
    --db-instance-identifier prod-mysql-encrypted \
    --db-snapshot-identifier prod-mysql-snapshot-encrypted

# 暗号化状態の確認
$ aws rds describe-db-instances \
    --db-instance-identifier prod-mysql \
    --query 'DBInstances[].{ID:DBInstanceIdentifier,Encrypted:StorageEncrypted,KmsKeyId:KmsKeyId}'

# バケットのデフォルト暗号化をSSE-KMSに設定
$ aws s3api put-bucket-encryption \
    --bucket my-prod-bucket \
    --server-side-encryption-configuration '{
      "Rules": [{
        "ApplyServerSideEncryptionByDefault": {
          "SSEAlgorithm": "aws:kms",
          "KMSMasterKeyID": "arn:aws:kms:ap-northeast-1:123456789012:key/1234abcd-..."
        },
        "BucketKeyEnabled": true
      }]
    }'

# バケットポリシーでSSE-KMS以外のアップロードを拒否
$ aws s3api put-bucket-policy \
    --bucket my-prod-bucket \
    --policy '{
      "Version": "2012-10-17",
      "Statement": [{
        "Sid": "DenyNonKMSUploads",
        "Effect": "Deny",
        "Principal": "*",
        "Action": "s3:PutObject",
        "Resource": "arn:aws:s3:::my-prod-bucket/*",
        "Condition": {
          "StringNotEquals": {
            "s3:x-amz-server-side-encryption": "aws:kms"
          }
        }
      }]
    }'

# バケットのデフォルト暗号化設定を確認
$ aws s3api get-bucket-encryption --bucket my-prod-bucket

# キーローテーションを有効化
$ aws kms enable-key-rotation --key-id alias/prod/ebs

# ローテーション設定を確認
$ aws kms get-key-rotation-status --key-id alias/prod/ebs
{
    "KeyRotationEnabled": true
}

# CMK一覧のローテーション状態をまとめて確認
$ aws kms list-keys --query 'Keys[].KeyId' --output text | \
  tr '\t' '\n' | while read keyid; do
    echo -n "$keyid: "
    aws kms get-key-rotation-status --key-id "$keyid" \
      --query 'KeyRotationEnabled' --output text 2>/dev/null
  done

# CloudTrailからKMSのDecryptイベントを検索
$ aws cloudtrail lookup-events \
    --lookup-attributes AttributeKey=EventName,AttributeValue=Decrypt \
    --start-time 2026-08-01T00:00:00Z \
    --max-results 10 \
    --query 'Events[].{User:Username,Time:EventTime,Source:EventSource}'

# CloudWatch Logs Insightsでも検索可能（CloudTrailをCloudWatchに送信している場合）
# fields @timestamp, userIdentity.arn, requestParameters.keyId
# | filter eventName = "Decrypt"
# | sort @timestamp desc
# | limit 20

# アカウントAのキーポリシー — アカウントBのロールARNを追加する部分
{
  "Sid": "Allow cross-account access from AccountB",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::999999999999:role/AccountB-EC2Role"
  },
  "Action": [
    "kms:Encrypt", "kms:Decrypt",
    "kms:ReEncrypt*", "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

# アカウントBのIAMポリシー（アカウントAのCMK ARNを明示）
{
  "Effect": "Allow",
  "Action": "kms:*",
  "Resource": "arn:aws:kms:ap-northeast-1:123456789012:key/1234abcd-..."
}