はじめに

Amazon S3では、保存するデータを「サーバーサイド暗号化（SSE）」によって保護することができます。
ただ、一口にSSEといっても方式が複数あり、それぞれで仕組みや使い方が異なるため、混乱しやすいポイントで、僕も実際に問題を解く中で何度も間違えました。

この記事では、S3で利用できる3つの暗号化方式について、違いと適した使い方をわかりやすく整理してみました。

サーバーサイド暗号化（SSE）とは？

サーバーサイド暗号化とは、
S3にアップロードされたオブジェクトをAWS側で自動的に暗号化・復号する仕組みです。

ファイルはアップロード時に暗号化され、ダウンロード時に自動で復号されるため、
アプリケーション側で特別な処理を加える必要はなく、普段通りの使い方でセキュアに利用できます。

項目	SSE-S3	SSE-KMS	SSE-C
鍵の管理	S3が自動で管理	AWS KMSで集中管理	利用者が鍵を提供
暗号化キーの生成	自動生成・自動管理	KMSのCMK（カスタマー管理キー）	ユーザーが毎回リクエストで提供
認可管理	S3のアクセス制御のみ	IAMポリシー＋KMSポリシー	毎回鍵を送る必要あり
導入の手軽さ	◎（一番簡単）	○（KMSとの連携が必要）	△（運用手間あり）
コスト	無料	KMS利用に応じて課金あり	無料（ただし自己管理）

選択肢として提示されたときは、「誰が鍵を管理するか」と運用負荷で判断すると選びやすくなります。

📘この記事はAWS認定SAP試験の勉強メモとしてまとめたものです。
内容に誤りや補足点があれば、ぜひコメントで教えてください！