ある会社は、本番リージョンの Amazon EC2 インスタンスにアタッチした Amazon EBS ボリュームを、セキュリティチームが管理する AWS KMS のカスタマーマネージドキーで暗号化しています。日次で取得しているスナップショットを、災害対策のために別のリージョンへ複製する運用をこれから追加します。複製したスナップショットからは、そのリージョンでいつでもボリュームを復元できなければなりません。複製先でも、セキュリティチームがキーポリシーを管理するキーで暗号化されている必要があります。 これらの要件を満たすにはどうすればよいですか。
暗号化した EBS スナップショットを別リージョンへ複製するときに指定するキーを選ぶ
ソースのスナップショットと同じカスタマーマネージドキーの ARN を指定して、スナップショットのコピーを作成する。
スナップショットのコピーでは、暗号化に使う KMS キーを ARN で明示できます。同じリージョン内でコピーするときは、この書き方でソースと同じキーを使い続けられます。
しかし AWS KMS のキーはリージョン固有で、作成したリージョンの外からは参照できません。コピー先を別のリージョンにしてソース側のキー ARNを渡すと、コピー先リージョンでそのキーを解決できずコピーが失敗するため、災害対策の複製そのものが始められません。
暗号化キーを指定せずにコピーし、コピー先でスナップショットの KMS キーをカスタマーマネージドキーへ変更する。
キーを指定せずに暗号化スナップショットを別リージョンへコピーすると、コピー先リージョンの EBS 暗号化のデフォルトキーで暗号化されたコピーができます。ここまでは実際に動きます。
ただし既存のスナップショットに関連付けられた KMS キーは後から変更できず、別のキーで暗号化し直せるのはコピーを作るときだけです。コピー先でスナップショットのキーを変更する操作は無いため、このままではキーポリシーを管理するのはセキュリティチームではありません。カスタマーマネージドキーで暗号化するには、コピーをもう一度作り、その操作でキーを指定し直す必要があります。
コピー先リージョンの AWS マネージドキー aws/ebs を指定して、スナップショットのコピーを作成する。
AWS マネージドキー aws/ebs はコピー先リージョンにも存在するため、これを指定したコピーは正常に完了し、複製されたスナップショットも暗号化されます。復元も問題なく行えます。
ただし AWS マネージドキーのキーポリシーを制御するのはサービス側で、顧客は内容を参照できるだけです。別リージョンへの複製と復元という 2 つは満たしても、キーポリシーをセキュリティチームが管理するという条件だけが満たせず、この 1 点でこの案は落ちます。
コピー先リージョンで新しく作成したカスタマーマネージドキーを指定して、スナップショットのコピーを作成する。
AWS KMS のキーはリージョンごとに独立しているため、暗号化スナップショットを別のリージョンへコピーするときは、コピー先リージョンに存在する KMS キーを指定します。コピーの操作は暗号化に使うキーを指定できる場面であり、既存のスナップショットのキーは後から変更できないので、ここがキーを差し替えられる唯一の機会になります。
コピー先リージョンにカスタマーマネージドキーを作っておけば、キーポリシーはセキュリティチームが管理したまま複製先のスナップショットを暗号化でき、そのスナップショットから同じリージョンでボリュームを復元できます。3 つの条件を、この 1 つの操作で同時に満たせます。
暗号化されたスナップショットとキーの関係は、リージョン境界と差し替えの機会の 2 点で覚えると迷いません。
・AWS KMS のキーはリージョン固有です。暗号化スナップショットを別リージョンへコピーするときは、コピー先リージョンの KMS キーを指定します。ソース側のキー ARN はコピー先から参照できません。
・既存のボリューム・スナップショットに関連付けられた KMS キーは変更できません。スナップショットを別のキーで暗号化し直せるのはコピーを作るときで、スナップショットからボリュームを作成するときにも別のキーを指定できます。
・コピー先で使うキーは、コピーの操作で明示的に指定します。指定を省くと、コピー先リージョンの EBS 暗号化のデフォルトキー (aws/ebs、またはデフォルトに設定してあるキー) が使われます。
「別リージョンへスナップショットを複製」と出たら、まずコピー先リージョンのキーを用意したかを確認します。