このハンズオンについて

この手順は、JAWS-UG CLI専門支部 #58 KMS入門で実施したものです。

前提条件

必要な権限

作業にあたっては、以下の権限を有したIAMユーザもしくはIAMロールを利用してください。

KMSに対するフルコントロール権限
S3に関するフルコントロール権限
STSに関するフルコントロール権限
IAMに関するフルコントロール権限

0. 準備

0.1. リージョンを指定

コマンド

export AWS_DEFAULT_REGION='ap-northeast-1'

0.2. 資格情報を確認

コマンド

aws configure list

インスタンスプロファイルを設定したEC2インスタンスでアクセスキーを設定せずに実行した場合、以下のようになります。

結果

Name                    Value             Type    Location
----                    -----             ----    --------
profile                <not set>             None    None
access_key     ****************RDPA         iam-role
secret_key     ****************9GA8         iam-role
region           ap-northeast-1              env    AWS_DEFAULT_REGION

0.3. バージョン確認

コマンド

aws --version

結果

aws-cli/1.10.56 Python/2.7.10 Linux/4.4.15-25.57.amzn1.x86_64 botocore/1.4.46

0.4. バージョンアップ（必要に応じて）

コマンド

sudo pip install -U awscli

0.5. 変数の設定

コマンド

ADMIN_NAME='jawsug-cli-admin'
ADMINS_PROFILE_NAME=${ADMIN_NAME}

USER_NAME='jawsug-cli-user'
USERS_PROFILE_NAME=${USER_NAME}

DATA_FILE='test.txt'
DOWNLOADED_DATA_FILE='test_downloaded.txt'
CIPHER_DATA_KEY_FILE_NAME='ciphertext_blob.txt'

AWS_ID=$(aws sts get-caller-identity \
    --query Account \
    --output text) \
    && echo ${AWS_ID}

BUCKET_NAME="kms-test-${AWS_ID}" \
    && echo ${BUCKET_NAME}

ALIAS="alias/cli-handson0815"

KEY_ID=$(aws kms list-aliases \
    --query "Aliases[?AliasName == \`${ALIAS}\`].TargetKeyId" \
    --output text) \
    && echo ${KEY_ID}

1. カスタマーマスターキーの無効化

1.1. ステータスの確認

コマンド

aws kms describe-key \
    --key-id ${KEY_ID}

結果

{
    "KeyMetadata": {
        "KeyId": "********-****-****-****-************",
        "Description": "JAWS-UG CLI 58 KMS at Co-Edo",
        "Enabled": true,
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "CreationDate": 1470043623.442,
        "Arn": "arn:aws:kms:ap-northeast-1:************:key/********-****-****-****-************",
        "AWSAccountId": "************"
    }
}

1.2. 変数の確認

コマンド

cat << ETX

    KEY_ID: ${KEY_ID}

ETX

結果


    KEY_ID: ********-****-****-****-************

1.3. カスタマーマスターキーの無効化

コマンド

aws kms disable-key \
    --key-id ${KEY_ID}

結果

（戻り値無し）

1.4. ステータスの確認

コマンド

aws kms describe-key \
    --key-id ${KEY_ID}

結果

{
    "KeyMetadata": {
        "KeyId": "********-****-****-****-************",
        "Description": "JAWS-UG CLI 58 KMS at Co-Edo",
        "Enabled": false,
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Disabled",
        "CreationDate": 1470043623.442,
        "Arn": "arn:aws:kms:ap-northeast-1:************:key/********-****-****-****-************",
        "AWSAccountId": "************"
    }
}

2. データの復号化の試行

2.1. プロファイルの切り替え

CMKを無効化したことを確認するため、一般ユーザにプロファイルに切り替えます。

コマンド

export AWS_DEFAULT_PROFILE=${USERS_PROFILE_NAME}

2.2. プロファイルの確認

コマンド

aws configure list

結果

      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile          jawsug-cli-user           manual    --profile
access_key     ****************QNVA shared-credentials-file
secret_key     ****************fTJ+ shared-credentials-file
    region           ap-northeast-1              env    AWS_DEFAULT_REGION

2.3. データキーの復号化

カスタマーマスターキーが無効なため、復号化できません。

コマンド

aws kms decrypt \
    --ciphertext-blob fileb://${CIPHER_DATA_KEY_FILE_NAME} \
    --query Plaintext \
    --output text

結果

An error occurred (DisabledException) when calling the Decrypt operation: arn:aws:kms:ap-northeast-1:************:key/********-****-****-****-************ is disabled.

3. S3からファイルのダウンロードを試行

カスタマーマスターキーが無効なため、ダウンロードできません。

3.1. S3からファイルのダウンロード

コマンド

aws s3 cp s3://${BUCKET_NAME}/${DATA_FILE} ${DOWNLOADED_DATA_FILE}

結果

download failed: s3://kms-test-************/test.txt to ./test_downloaded.txt An error occurred (KMS.DisabledException) when calling the GetObject operation: arn:aws:kms:ap-northeast-1:************:key/********-****-****-****-************ is disabled.

4. カスタマーマスターキーの有効化

CMKを再度有効化し、データキーの復号化やS3からのダウンロードができるようになることを確認します。

4.1. プロファイルの切り替え

コマンド

export AWS_DEFAULT_PROFILE=${ADMINS_PROFILE_NAME}

4.2. プロファイルの確認

コマンド

aws configure list

結果

      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile         jawsug-cli-admin           manual    --profile
access_key     ****************2RPA shared-credentials-file
secret_key     ****************cbKk shared-credentials-file
    region           ap-northeast-1              env    AWS_DEFAULT_REGION

4.3. ステータスの確認

コマンド

aws kms describe-key \
    --key-id ${KEY_ID}

結果

{
    "KeyMetadata": {
        "KeyId": "********-****-****-****-************",
        "Description": "JAWS-UG CLI 58 KMS at Co-Edo",
        "Enabled": false,
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Disabled",
        "CreationDate": 1470540911.677,
        "Arn": "arn:aws:kms:ap-northeast-1:************:key/********-****-****-****-************",
        "AWSAccountId": "************"
    }
}

4.4. 変数の確認

コマンド

cat << ETX

    KEY_ID: ${KEY_ID}

ETX

結果


    KEY_ID: ********-****-****-****-************

4.5. カスタマーマスターキーの有効化

コマンド

aws kms enable-key \
    --key-id ${KEY_ID}

結果

（戻り値無し）

4.6. ステータスの確認

反映に少し時間がかかるようです。

コマンド

aws kms describe-key \
    --key-id ${KEY_ID}

結果

{
    "KeyMetadata": {
        "KeyId": "********-****-****-****-************",
        "Description": "JAWS-UG CLI 58 KMS at Co-Edo",
        "Enabled": true,
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "CreationDate": 1470540911.677,
        "Arn": "arn:aws:kms:ap-northeast-1:************:key/********-****-****-****-************",
        "AWSAccountId": "************"
    }
}

5. データの復号化の試行

5.1. プロファイルの切り替え

コマンド

export AWS_DEFAULT_PROFILE=${USERS_PROFILE_NAME}

5.2. プロファイルの確認

コマンド

aws configure list

結果

      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile          jawsug-cli-user           manual    --profile
access_key     ****************ES2A shared-credentials-file
secret_key     ****************O85Q shared-credentials-file
    region           ap-northeast-1              env    AWS_DEFAULT_REGION

5.3. データキーの復号化

コマンド

aws kms decrypt \
    --ciphertext-blob fileb://${CIPHER_DATA_KEY_FILE_NAME}

結果

{
    "Plaintext": "********************************************",
    "KeyId": "arn:aws:kms:ap-northeast-1:************:key/********-****-****-****-************"
}

6. S3からファイルのダウンロードを試行

6.1. S3からファイルのダウンロード

コマンド

aws s3 cp s3://${BUCKET_NAME}/${DATA_FILE} ${DOWNLOADED_DATA_FILE}

結果

download: s3://kms-test-************/test.txt to ./test_downloaded.txt

以上