Servisphere
AWS Key Management Service のアイコン（AWS Architecture Icons）

AWS Key Management Service

暗号鍵の管理

暗号鍵を作成・管理します。S3、EBS、RDS、DynamoDB などのサービスは KMS を呼び出してデータを暗号化し、鍵の使用はすべてログに記録されます。

  • コスト$ 安い
  • 難易度●●●●●
  • 未使用でも課金？はい
  • AWS マネージド
  • 出題試験CLF · SAA · DVA · SOA

範囲: Regional

KMS をマップで開く →
たとえるなら鍵の金庫のようなものです。鍵は金庫から決して出ず、許可された人だけが金庫に解錠を依頼できます。

KMS はシステムのどこにある？

KMS

KMS が呼び出す

マップで全体を見る →

具体例でステップごとに

  1. 顧客情報を S3 と RDS に保存している会社で、規制により暗号化と、誰が鍵を使ったかの把握が求められています。
  2. KMS でカスタマーマネージドキーを作り、Security チームが鍵を管理し、アプリは暗号化・復号だけができるようキーポリシーを書きます。
  3. S3 バケットはその鍵で SSE-KMS をデフォルトにし、RDS もデータベース作成時に同じ鍵を選びます。
  4. 鍵の本体は KMS から出ることがなく、鍵の使用はすべて CloudTrail に記録されるので監査に使えます。
  5. 自動キーローテーションを有効にしても、古いデータは再暗号化なしで復号できます。

▶ シナリオ「誰が何を守るか」をマップで見る

いつ使う？

✓ 使うべき場面

保存データの暗号化、復号できる人の制御。

✗ 避けるべき場面

専用の single-tenant HSM デバイスが必要 → CloudHSM。

よくある使い方

  • 独自の鍵で S3、EBS、RDS、DynamoDB を暗号化
  • アプリケーション内のデータ暗号化（envelope encryption）
  • 非対称鍵によるデジタル署名
  • key policy で復号できる人を制御

KMS・Secrets Manager・ACM の違い

KMSSecrets ManagerACM
管理するもの暗号化キーパスワード、API キーSSL/TLS 証明書
用途保存データの暗号化実行時にアプリがシークレットを取得HTTPS の有効化
自動ローテーション/更新キーの自動ローテーションパスワードの自動ローテーション証明書の自動更新
課金キーごとの月額 + 呼び出し数シークレットごとの月額 + 呼び出し数パブリック証明書は無料

料金はいくら？

料金の例鍵 5 つ + 200 万 request ≈ $5 + $6 = $11/月。
  • 課金方式: カスタマー管理キーごとに $1/月 + 約 $0.03/10,000 request。AWS 管理キーには保管料金はかかりません。
  • 無料枠: Always Free: 20,000 request/月。
⚠️ 料金の落とし穴

数百万の object に S3 SSE-KMS を使うと、request ごとに KMS が呼び出される — S3 Bucket Key を有効にすると最大約 99% 削減できます。細かいものごとに個別の鍵を作成する。

料金は us-east-1 の参考値（2026年10月14日 更新）で、変更されている可能性があります。必ず AWS の料金ページでご確認ください。 AWS 公式の料金ページ ↗

💡 試験のコツ

鍵を自分で管理し、ローテーション、職務分離、使用の監査が必要なら、カスタマーマネージドキーによる SSE-KMS です。鍵の管理を一切したくないなら SSE-S3、複数リージョンで同じ鍵を使うならマルチリージョンキー、専用のシングルテナント HSM が必要なら CloudHSM です。

本番の試験問題に挑戦

AWS 認定試験は英語でも受験できるため、問題文は英語のまま掲載しています。

1A company is preparing to deploy a data lake on AWS. A solutions architect must define the encryption strategy for data at rest in Amazon S3. The company's security policy states: Keys must be rotated every 90 days. Strict separation of duties between key users and key administrators must be implemented. Auditing key usage must be possible. What should the solutions architect recommend?

  1. AServer-side encryption with AWS KMS managed keys (SSE-KMS) with customer managed customer master keys (CMKs)
  2. BServer-side encryption with AWS KMS managed keys (SSE-KMS) with AWS managed customer master keys (CMKs)
  3. CServer-side encryption with Amazon S3 managed keys (SSE-S3) with customer managed customer master keys (CMKs)
  4. DServer-side encryption with Amazon S3 managed keys (SSE-S3) with AWS managed customer master keys (CMKs)
答えを見る

正解: A

カスタマーマネージドキーによる SSE-KMS なら、ローテーション期間を設定でき、キーポリシーで鍵の管理者と利用者の権限を分けられ、鍵の使用はすべて CloudTrail に記録されます。AWS マネージドキーではこれらを設定できず、SSE-S3 は KMS のキーを使いません。

2A company is building an application in the AWS Cloud. The application will store data in Amazon S3 buckets in two AWS Regions. The company must use an AWS Key Management Service (AWS KMS) customer managed key to encrypt all data that is stored in the S3 buckets. The data in both S3 buckets must be encrypted and decrypted with the same KMS key. The data and the key must be stored in each of the two Regions. Which solution will meet these requirements with the LEAST operational overhead?

  1. ACreate an S3 bucket in each Region. Configure the S3 buckets to use server-side encryption with Amazon S3 managed encryption keys (SSE-S3). Configure replication between the S3 buckets.
  2. BCreate a customer managed multi-Region KMS key. Create an S3 bucket in each Region. Configure replication between the S3 buckets. Configure the application to use the KMS key with client-side encryption.
  3. CCreate a customer managed KMS key and an S3 bucket in each Region. Configure the S3 buckets to use server-side encryption with Amazon S3 managed encryption keys (SSE-S3). Configure replication between the S3 buckets.
  4. DCreate a customer managed KMS key and an S3 bucket in each Region. Configure the S3 buckets to use server-side encryption with AWS KMS keys (SSE-KMS). Configure replication between the S3 buckets.
答えを見る

正解: B

マルチリージョン KMS キーは両方のリージョンで同じキーなので、一方のリージョンで暗号化したデータをもう一方で復号できます。別々に作った 2 つのキーは異なるキーで、SSE-S3 は自分の KMS キーを使いません。

Servisphere で 700 問以上を練習する →

よくある質問

KMS と CloudHSM の違いは何ですか？

KMS は AWS が運用する共有型の鍵管理サービスで、ほとんどの AWS サービスと連携しています。CloudHSM は専用（シングルテナント）の HSM を提供し、鍵を完全に管理できるため厳しいコンプライアンス要件に向いていますが、自分で運用する部分が増えます。

AWS マネージドキーとカスタマーマネージドキーの違いは何ですか？

AWS マネージドキーはサービスが作成・管理し、ポリシーやローテーションは変更できません。カスタマーマネージドキーは自分で作成し、キーポリシーの記述、自動ローテーションの有効化・無効化、他のアカウントとの共有ができ、キーごとに月額料金がかかります。

KMS の料金はどのように決まりますか？

カスタマーマネージドキーごとの月額料金に加え、API 呼び出し（暗号化、復号、データキーの生成）に料金がかかり、毎月の無料リクエスト枠があります。AWS マネージドキーには保管料金はかかりません。

AWS 認定試験では KMS について何が問われますか？

エンベロープ暗号化（データキーの利用）、キーポリシーと IAM の組み合わせ、自動キーローテーション、他のアカウントとの鍵の共有、マルチリージョンキー、大量のデータを暗号化するときのリクエストクォータなどです。

関連サービス

KMS をマップで開く →