AWS Nitro Enclaves
機密データ処理用の隔離領域
EC2 instanceのCPUとRAMの一部を切り出して隔離環境にします。永続ストレージ、ネットワーク、対話的アクセスはなく、親instanceとはvsockチャネル経由でのみ通信します。attestationにより、KMSが正しいenclaveに対してだけ復号するようにできます。
- コスト$ 安い
- 難易度●●●●●
- 未使用でも課金？いいえ
- 自己管理
- 出題試験SAA
たとえるなら銀行の窓のない金庫室のようなものです。書類は小さな差し入れ口から渡すだけで、外部の人は管理者でさえ入れません。
いつ使う？
✓ 使うべき場面
極めて機密性の高いデータ（秘密鍵、PII、決済カード）を処理し、instanceの管理者でさえ読めないようにしたいとき。
✗ 避けるべき場面
通常のデータ暗号化と鍵管理だけで十分 → KMS。専用HSMが必要 → CloudHSM。
よくある使い方
- カード番号・PIIの復号と処理
- 秘密鍵によるトランザクション署名
- 複数当事者のデータに対する安全な計算
料金はいくら？
- 課金方式: 追加料金はかかりません。親EC2 instanceの料金のみ支払います。
