CloudHSMは「鍵の管理を、専用の金庫室ごと自分で持つ」選択肢 🏦
CloudHSMは「鍵管理を完全に自分の手に置く」サービス
CloudHSM（Hardware Security Module）は、
専用のハードウェアデバイス上で暗号化鍵を生成・管理するサービス。
KMSとの一番の違いはここで、
鍵の管理・削除・ライフサイクル管理まで、すべてユーザー自身が責任を持つ必要がある。
AWSにお任せするのではなく、
「自分で鍵を持って、自分で金庫を管理する」スタイル。
シングルテナントで「他人と共有しない」ハードウェア
CloudHSMは、専用シングルテナントとしてVPCにプロビジョニングされる。
つまり、
他のユーザーとハードウェアそのものを共有することはない。
同じ建物の中に他人の金庫と同居するのではなく、
自分専用の金庫室を丸ごと借りるようなイメージ。
コストは高いが、制御の自由度も高い
料金はKMSより高価になる。
その分、
完全にユーザー側で制御したい、という要件がある場合にのみ選択される。
「多少コストがかかっても、鍵の管理を一切他人に委ねたくない」
という強い要求に応えるためのサービス、という位置づけ。
KMSとの住み分け
| 項目 | KMS | CloudHSM |
|---|---|---|
| 管理主体 | AWS（マネージドキーの場合） | ユーザー自身 |
| ハードウェア | AWSが管理・共有基盤 | 専用シングルテナント |
| コスト | 比較的安価 | 高価 |
| 向いている場面 | 一般的な暗号化用途 | 完全な制御が必須な用途 |
KMSが「信頼できる管理会社に鍵を預ける」感覚なら、
CloudHSMは「自分の敷地内に金庫室を建てる」感覚に近い。
どちらが良い悪いではなく、
どこまで自分でコントロールしたいかで選ぶサービスだと分かった。
まとめメモ ✍️
- CloudHSMは専用ハードウェアで鍵を生成・管理するサービス
- 鍵の管理・削除・ライフサイクルはすべてユーザー責任
- シングルテナントで他ユーザーとハードウェアを共有しない
- コストは高いが、その分完全な制御が可能
- KMSとは「お任せ」か「完全自己管理」かで住み分けられる
同じ「鍵を管理するサービス」でも、
ここまで思想が違うのかと、KMSとの対比で理解が一気に深まった回だった。