AWS 暗号化まとめ（S3 / EBS / RDS）

― SAAで差がつくポイントだけを整理する ―

AWS の暗号化は SAA の中でも「理解したつもりになりやすい」領域です。
特に S3 / EBS / RDS の暗号化方式の違いは、試験/実務でも判断を誤りやすいポイント。

本記事では、初心者向けの説明は省き、
すでに学習済みの人がつまずきやすい部分だけ を抽出して整理します。

1. AWS 暗号化の本質：Envelope Encryption

AWS の暗号化はすべて Envelope Encryption（包み暗号化） を使います。

[KMS] → GenerateDataKey（平文キー + 暗号化済みキー）
        ↓
[サービス] 平文データキーでデータを暗号化
        ↓
[サービス] 暗号化済みデータキー（Ciphertext）を保存

ポイント：

KMS が暗号化するのは データそのものではなく「データキー」
実際の暗号化処理は S3 / EBS / RDS 側で行われる
復号時は「暗号化済みデータキー」を KMS に渡して復号する

📘 公式ドキュメント
https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html

2. S3 の暗号化（SSE-S3 / SSE-KMS / SSE-C）

2-1. S3 で使える暗号化方式一覧

方式	鍵管理者	主な用途	特徴
SSE-S3（AES-256）	AWS	標準的な暗号化 / コストを抑えたい	最も簡単。追加コストなし。鍵管理不要
SSE-KMS	AWS KMS	監査要件 / 復号権限の細かい制御	CloudTrail に KMS 呼び出しが残る。IAM + KMS ポリシーで制御可能
SSE-C	ユーザー	鍵をクラウドに置けない要件	鍵を毎回送信する必要あり。特殊用途
クライアントサイド暗号化	ユーザー	アプリ側で暗号化したい	S3 は暗号化済みデータを保存するだけ

2-2. SSE-KMS の押さえるべきポイント

● KMS 呼び出しは S3 が内部キャッシュする

現在は S3 が KMS データキーをキャッシュするため、
KMS API 呼び出しは大幅に削減されています。

● 監査要件があるなら SSE-KMS

CloudTrail に KMS 呼び出しが残る
IAM + KMS ポリシーで復号権限を細かく制御できる

● SSE-C は例外的な選択肢

鍵をクラウドに置けない特殊要件のみ
試験ではほぼ出ない

📘 公式ドキュメント
https://docs.aws.amazon.com/AmazonS3/latest/userguide/serv-side-encryption.html
https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingKMSEncryption.html

3. EBS の暗号化（KMS）

3-1. EBS で使える暗号化方式一覧

方式	鍵管理者	主な用途	特徴
EBS 暗号化（KMS）	AWS KMS	EC2 のディスク暗号化 / スナップショットも暗号化したい	Nitro によるハードウェアオフロードで性能劣化ほぼなし
暗号化スナップショット	AWS KMS	暗号化ボリュームを新規作成したい	暗号化スナップショット → 復元で暗号化ボリュームを作成
暗号化コピー（スナップショット）	AWS KMS	暗号化キーを変更したい / 別リージョンへ移行	コピー時に KMS キーを変更可能

3-2. Nitro によるハードウェアオフロード

EBS 暗号化は 性能劣化がほぼない と言われますが、理由は以下の通り：

Nitro 系インスタンスでは暗号化処理が ハードウェアオフロード
暗号化の有無で IOPS / スループットの上限は変わらない

3-3. スナップショットは自動で暗号化

暗号化された EBS → スナップショットも暗号化
暗号化スナップショット → 復元したボリュームも暗号化

3-4. 暗号化のオン/オフは後から変更不可

暗号化されていない EBS を後から暗号化することはできない
暗号化スナップショットを作成 → 復元で暗号化ボリュームを作る

📘 公式ドキュメント
https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/EBSEncryption.html

4. RDS の暗号化（KMS）

4-1. RDS で使える暗号化方式一覧

方式	鍵管理者	主な用途	特徴
RDS 暗号化（KMS）	AWS KMS	DB インスタンスの暗号化	バックアップ・スナップショット・リードレプリカも自動で暗号化
暗号化スナップショット	AWS KMS	暗号化インスタンスへ移行したい	暗号化スナップショット → 復元で暗号化インスタンスを作成
暗号化レプリカ	AWS KMS	暗号化された読み取り専用レプリカが必要	元インスタンスが暗号化されている必要あり

4-2. 暗号化 ON は既存インスタンスに後付けできない

ただし、以下の方法で移行可能：

暗号化スナップショットを作成
復元して暗号化インスタンスを作成
アプリ側で切り替え

4-3. バックアップ・リードレプリカも自動で暗号化

暗号化インスタンスを使うと、関連リソースはすべて暗号化される。

📘 公式ドキュメント
https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/Overview.Encryption.html

5. KMS の暗号化方式（キータイプ）

5-1. KMS で使えるキータイプ一覧（用途付き）

種類	主な用途	特徴
対称キー（Symmetric）	S3 / EBS / RDS の暗号化	Envelope Encryption に使用。SAAで最頻出
非対称キー（Asymmetric）	デジタル署名 / 公開鍵暗号	暗号化用途ではなく署名用途が中心
HMAC キー	メッセージ認証	データの完全性検証に使用

5-2. KMS キー削除（7〜30日の猶予期間）

KMS キーは即削除できない
7〜30日後に削除される
削除すると暗号化データは復号不可

📘 公式ドキュメント
https://docs.aws.amazon.com/kms/latest/developerguide/symmetric-asymmetric.html
https://docs.aws.amazon.com/kms/latest/developerguide/deleting-keys.html

6. SAA 暗号化問題の「要件語」だけで判断する方法

要件語	選ぶべきもの
監査ログが必要	SSE-KMS
復号操作を追跡したい	SSE-KMS
鍵管理をAWSに任せたい	SSE-S3
鍵をクラウドに置けない	SSE-C
EC2ディスクを暗号化したい	EBS暗号化
スナップショットも暗号化したい	EBS暗号化
RDSを後から暗号化したい	暗号化スナップショット → 復元

まとめ

AWS の暗号化はすべて Envelope Encryption
S3 の SSE-KMS は 監査性とアクセス制御 が最大のメリット
EBS 暗号化は Nitro により性能劣化ほぼなし
RDS 暗号化は 後付け不可だが、暗号化スナップショットで移行可能
SAAでは「要件語」を拾うだけで正解が決まる問題が多い

最後に

暗号化は“なんとなく使う”領域ではなく、設計判断の核心です。
この記事が、皆さんのアーキテクチャ判断を一段引き上げる一助になれば幸いです。