扱う内容

・WAF
・Shield
・KMS
・CloudHSM

【KMS】

データを暗号化する鍵
暗号化するデータの分作らなければならない

データキーを暗号化する鍵

2段階で鍵を保護する方式をエンベロープ暗号化という

鍵の生成、管理はAWSが行う
ユーザーは鍵の削除はできない

鍵の生成、管理、削除はユーザーが行う
(CloudHSMと違い、多少はAWS側も手伝ってくれる)
鍵の自動ローテーション機能がついている

KMSキーポリシーは、KMSキーに適用するリソースベースのポリシー
鍵に対して、IAMユーザーまたはIAMロール、他のAWSアカウントに対して操作可能な権限を設定する

鍵の作成者とは異なるIAMユーザーやIAMロールが複合したい場合、キーユーザーに追加することで複合できるようになる

専用のハードウェアデバイスを用いて、暗号化鍵を生成、管理する
鍵の生成や保管、削除などは何から何まで完全にユーザー側で行わなければならない

普通のShield
DDoS攻撃から守ってくれる

ちょっと高級なShield
高度な保護サービスを利用できる
EC2インスタンス、CloudFront、NLBを守ってくれる

・API Gateway
・ALB
・CloudFront