EBS 暗号化の仕組み要件 EBS 暗号化のデフォルトの KMS キーデフォルトでの暗号化 EBS リソースの暗号化 AWS KMSキーをローテーションします暗号化シナリオ API と CLI を使用した暗号化のデフォルトの設定

Amazon EBS 暗号化

Amazon EBS 暗号化は、EC2 インスタンスに関連付けられた EBS リソースの簡単な暗号化ソリューションとして使用します。Amazon EBS 暗号化では、独自のキー管理インフラストラクチャを構築、保守、保護する必要はありません。Amazon EBS 暗号化は、暗号化されたボリュームとスナップショットを作成するときに、AWS KMS keys を使用します。

暗号化オペレーションは EC2 インスタンスをホストするサーバー上で実行され、インスタンスとそれに接続された EBS ストレージ間でのデータの保存と転送中のデータの両方のセキュリティを保証します。

1 つのインスタンスに対し、暗号化されたボリュームと暗号化されていないボリュームの両方を、同時にアタッチできます。

EBS 暗号化の仕組み

EC2 インスタンスのブートボリュームとデータボリュームの両方を暗号化できます。

暗号化された EBS ボリュームを作成し、サポートされるインスタンスタイプにアタッチする場合、以下のタイプのデータが暗号化されます。

ボリューム内の保存データ
ボリュームとインスタンスの間で移動されるすべてのデータ
ボリュームから作成されたすべてのスナップショット
それらのスナップショットから作成されたすべてのボリューム

Amazon EBS は、業界標準の AES-256 データ暗号化を使用して、ボリュームをデータキーで暗号化します。データキーは、ボリューム情報とともに保存される前に、AWS KMS キーを使用して AWS KMS によって生成され、AWS KMS によって暗号化されます。すべてのスナップショット、および同じ AWS KMS キーを使用してそれらのスナップショットから作成された後続のボリュームは、同じデータキーを共有します。詳細については、AWS Key Management Service デベロッパーガイドのデータキーを参照してください。

KMS キーが使用できなくなると、その影響はほぼ即時に表れます (最終的な一貫性の対象となります)。KMS キーのキーステータスは新しい条件を反映して変化し、暗号化オペレーションで KMS キーを使用するすべてのリクエストは失敗します。詳細については、「AWS Key Management Service デベロッパーガイド」の「使用できない KMS キーがデータキーに与える影響」を参照してください。

Amazon EC2 は AWS KMS と連携して、EBS ボリュームの暗号化と復号化を行います。この処理の方法は、暗号化されたボリュームから作成されたスナップショットが、暗号化されているか暗号化されていないかによって若干異なります。

暗号化されたスナップショットに対する EBS 暗号化の動作

ユーザーが所有している暗号化されたスナップショットから暗号化されたボリュームを作成する場合、Amazon EC2 は AWS KMS と連携して、次のように EBS ボリュームを暗号化および復号化します。

Amazon EC2 は、ボリュームの暗号化のために選択した KMS キーを指定して、GenerateDataKeyWithoutPlaintext リクエストを AWS KMS に送信します。
スナップショットと同じ KMS キーを使用してボリュームを暗号化すると、AWS KMSは、スナップショットと同じデータキーを使用し、同じ KMS キーでこれを暗号化します。ボリュームが別の KMS キーを使用して暗号化されている場合、AWS KMS は新しいデータキーを生成し、指定した KMS キーでこれを暗号化します。暗号化されたデータキーは Amazon EBS に送信され、ボリュームメタデータとともに保存されます。
暗号化されたボリュームをインスタンスにアタッチすると、Amazon EC2 は CreateGrant リクエストを AWS KMS に送信し、データキーを復号化できるようにします。
AWS KMS は、暗号化されたデータキーを復号して、Amazon EC2 に復号されたデータキーを送信します。
Amazon EC2 は、Nitro ハードウェア内のプレーンテキストデータキーを使用して、ボリュームのディスク I/O を暗号化します。プレーンテキストデータキーは、ボリュームがインスタンスにアタッチされる限り、メモリ内で維持されます。

暗号化されていないスナップショットに対する EBS 暗号化の動作

暗号化されていないスナップショットから暗号化されたボリュームを作成する場合、Amazon EC2 は AWS KMS と連携して、次のように EBS ボリュームを暗号化および復号化します。

Amazon EC2は CreateGrant リクエストを AWS KMS に送信し、スナップショットから作成されたボリュームを暗号化できるようにします。
Amazon EC2 は、ボリュームの暗号化のために選択した KMS キーを指定して、GenerateDataKeyWithoutPlaintext リクエストを AWS KMS に送信します。
AWS KMS は新しいデータキーを生成し、ボリュームの暗号化のために選択した KMS キーで暗号化し、暗号化したデータキーを Amazon EBS に送信して、ボリュームのメタデータと共に保存します。
Amazon EC2は Decrypt リクエストを AWS KMS に送信して、ボリュームデータを暗号化するための暗号化キーを取得します。
暗号化されたボリュームをインスタンスにアタッチすると、Amazon EC2 は CreateGrant リクエストを AWS KMS に送信し、データキーを復号化できるようにします。
暗号化されたボリュームをインスタンスにアタッチすると、Amazon EC2 は暗号化されたデータキーを指定しながら、Decrypt リクエストを AWS KMS に送信します。
AWS KMS は、暗号化されたデータキーを復号して、Amazon EC2 に復号されたデータキーを送信します。
Amazon EC2 は、Nitro ハードウェア内のプレーンテキストデータキーを使用して、ボリュームのディスク I/O を暗号化します。プレーンテキストデータキーは、ボリュームがインスタンスにアタッチされる限り、メモリ内で維持されます。

詳細については、AWS Key Management Service デベロッパーガイドのAmazon Elastic Block Store (Amazon EBS) で AWS KMS を使用する方法およびAmazon EC2 の例 2を参照してください。

要件

開始する前に、以下の要件が満たされていることを確認します。

サポートされるボリュームタイプ

暗号化は、すべての EBS ボリュームタイプでサポートされます。暗号化されたボリュームでは、暗号化されていないボリュームと同じ IOPS パフォーマンスが期待できます。遅延に対する影響は最小限に抑えられます。暗号化されていないボリュームにアクセスするのと同じ方法で、暗号化されたボリュームにアクセスできます。暗号化と復号は透過的に処理され、ユーザーやアプリケーションから追加の操作を必要としません。

サポートされるインスタンスタイプ

Amazon EBS 暗号化は、現行世代と前世代のすべてのインスタンスタイプで利用できます。

ユーザーのアクセス許可

EBS 暗号化のデフォルトキーとして KMS キーを設定すると、デフォルトの KMS キーポリシーにより、必要な KMS アクションにアクセスできるすべてのユーザーがこの KMS キーを使用して EBS リソースを暗号化または復号できるようになります。EBS 暗号化を使用するには、次のアクションを呼び出す許可をユーザーに付与する必要があります。

kms:CreateGrant
kms:Decrypt
kms:DescribeKey
kms:GenerateDataKeyWithoutPlainText
kms:ReEncrypt

ヒント

最小権限のプリンシパルに従うには、kms:CreateGrant へのフルアクセスを許可しないでください。代わりに、次の例に示すように、AWS のサービスによってユーザーに代わって許可が作成された場合にのみ、kms:GrantIsForAWSResource コンディションキーを使用して、KMS キーに許可を作成できるようにします。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kms:CreateGrant",
            "Resource": [
                "arn:aws:kms:us-east-2:123456789012:key/abcd1234-a123-456d-a12b-a123b4cd56ef"
            ],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
        }
    ]
}

詳細については、AWS Key Management Service デベロッパーガイドのデフォルトのキーポリシーセクションのAWS アカウントへのアクセスを許可し、IAM ポリシーを有効にするを参照してください。

インスタンスの権限

インスタンスが暗号化された AMI、ボリューム、またはスナップショットと通信しようとすると、インスタンスの ID 専用ロールに KMS キーグラントが発行されます。ID 専用ロールは、インスタンスがユーザーに代わって暗号化された AMI、ボリューム、またはスナップショットを操作するために使用する IAM ロールです。

ID のみのロールは、手動で作成または削除する必要はなく、ポリシーも関連付けられていません。また、ID のみのロール認証情報にはアクセスできません。

注記

ID 専用ロールは、インスタンスのアプリケーションが Amazon S3 オブジェクトや Dynamo DB AWS KMS テーブルなどの他の暗号化されたリソースにアクセスするために使用することはありません。これらの操作は、Amazon EC2 インスタンスロールの認証情報、AWSまたはインスタンスに設定したその他の認証情報を使用して実行されます。

ID のみのロールには、サービスコントロールポリシー (SCP) と KMS キーポリシーが適用されます。SCP キーまたは KMS キーが KMS キーへの ID 専用ロールアクセスを拒否すると、暗号化されたボリュームで、または暗号化された AMI やスナップショットを使用して EC2 インスタンスを起動できないことがあります。

aws:SourceIp、aws:VpcSourceIp、aws:SourceVpc、またはaws:SourceVpce AWSグローバル条件キーを使用してネットワークロケーションに基づいてアクセスを拒否する SCP またはキーポリシーを作成する場合は、これらのポリシーステートメントがインスタンスのみのロールに適用されないようにする必要があります。ポリシーの例については、「データペリメータポリシーの例」を参照してください。

ID 専用ロール ARN は次の形式を使用します:


arn:aws-partition:iam::account_id:role/aws:ec2-infrastructure/instance_id

キーグラントがインスタンスに発行されると、キーグラントはそのインスタンス固有のロール割り当てセッションに発行されます。被付与者のプリンシパル ARN は以下の形式を使用します:


arn:aws-partition:sts::account_id:assumed-role/aws:ec2-infrastructure/instance_id

EBS 暗号化のデフォルトの KMS キー

Amazon EBS は、AWS リソースを保存する各リージョンに一意の AWS マネージドキーを自動的に作成します。この KMS キーにはエイリアス alias/aws/ebs があります。デフォルトでは、Amazon EBS は暗号化にこの KMS キーを使用します。または、作成した対称カスタマーマネージド型暗号化キーを EBS 暗号化のデフォルトの KMS キーとして指定することもできます。独自の KMS キーを使用することにより、KMS キーの作成、更新、無効化ができるなど、より高い柔軟性が得られます。

重要

Amazon EBS は非対称暗号化 KMS キーをサポートしていません。詳細については、「AWS Key Management Service デベロッパーガイド」の「対称および非対称暗号化 KMS キーの使用」を参照してください。

New console

リージョンの EBS 暗号化用にデフォルト KMS キーを設定するには

Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。
ナビゲーションバーから、使用するリージョンを選択します。
ナビゲーションペインの [EC2 ダッシュボード] を選択します。
ページの右上で、[アカウントの属性]、[データ保護とセキュリティ] の順に選択します。
[Manage] (管理) を選択します。
[Default encryption key] (デフォルトの暗号化キー) で、対称カスタマーマネージド型暗号化キーを選択します。
[EBS 暗号化の更新] をクリックします。

Old console

リージョンの EBS 暗号化用にデフォルト KMS キーを設定するには

Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。
ナビゲーションバーから、使用するリージョンを選択します。
ナビゲーションペインの [EC2 ダッシュボード] を選択します。
ページの右上で、 [Account Attributes (アカウントの属性)]、[Settings (設定)] の順に選択します。
[Change the default key] (デフォルトキーの変更) を選択してから、利用可能なKMS キーを選択します。
次に [Save settings (設定を保存)] を選択します。

デフォルトでの暗号化

作成した新しい EBS ボリュームとスナップショットコピーの暗号化を強制するように AWS アカウントを設定できます。例えば、Amazon EBS は、インスタンスの起動時に作成された EBS ボリュームと、暗号化されていないスナップショットからコピーしたスナップショットを暗号化します。暗号化されていない EBS リソースから暗号化された EBS リソースへの移行の例については、暗号化されていないリソースの暗号化を参照してください。

デフォルトでは、暗号化は既存の EBS ボリュームまたはスナップショットには影響しません。

考慮事項

デフォルトでの暗号化はリージョン固有の設定です。リージョンに対して有効にした場合、そのリージョン内の個々のボリュームまたはスナップショットに対して無効にすることはできません。
Amazon EBS 暗号化はデフォルトで、現行世代と前世代のすべてのインスタンスタイプでサポートされています。
スナップショットをコピーして、新しい KMS キーで暗号化すると、完全な (増分ではない) コピーが作成されます。その結果、追加のストレージコストが発生します。
AWS Server Migration Service (SMS) を使用してサーバーを移行する場合は、デフォルトでの暗号化を有効にしないでください。デフォルトでの暗号化がすでに有効になっていて、デルタレプリケーションエラーが発生している場合は、デフォルトでの暗号化を無効にしてください。代わりに、レプリケーションジョブの作成時に AMI 暗号化を有効にします。

Amazon EC2 console

リージョンの暗号化をデフォルトで有効にするには

Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。
ナビゲーションバーから、使用するリージョンを選択します。
ナビゲーションペインの [EC2 ダッシュボード] を選択します。
ページの右上で、[アカウントの属性]、[データ保護とセキュリティ] の順に選択します。
[Manage] (管理) を選択します。
[Enable] (有効化) を選択します。デフォルトの暗号化キーとして、ユーザーの代わりに作成したエイリアス alias/aws/ebs と共に AWS マネージドキーをそのまま維持するか、対称カスタマーマネージド型暗号化キーを選択します。
[Update EBS encryption] (EBS 暗号化を更新する) を選択します。

AWS CLI

デフォルトの暗号化設定を表示するには

特定のリージョンの場合


$ aws ec2 get-ebs-encryption-by-default --region region

アカウントの全リージョンの場合


$ for region in $(aws ec2 describe-regions --region us-east-1 --query "Regions[*].[RegionName]" --output text); do   default=$(aws ec2 get-ebs-encryption-by-default --region $region --query "{Encryption_By_Default:EbsEncryptionByDefault}" --output text); kms_key=$(aws ec2 get-ebs-default-kms-key-id --region $region | jq '.KmsKeyId'); echo "$region  --- $default  --- $kms_key"; done

暗号化をデフォルトで有効にするには

特定のリージョンの場合


$ aws ec2 enable-ebs-encryption-by-default --region region

アカウントの全リージョンの場合


$ for region in $(aws ec2 describe-regions --region us-east-1 --query "Regions[*].[RegionName]" --output text); do   default=$(aws ec2 enable-ebs-encryption-by-default --region $region --query "{Encryption_By_Default:EbsEncryptionByDefault}" --output text); kms_key=$(aws ec2 get-ebs-default-kms-key-id --region $region | jq '.KmsKeyId'); echo "$region  --- $default  --- $kms_key"; done

暗号化をデフォルトで無効にするには

特定のリージョンの場合


$ aws ec2 disable-ebs-encryption-by-default --region region

アカウントの全リージョンの場合


$ for region in $(aws ec2 describe-regions --region us-east-1 --query "Regions[*].[RegionName]" --output text); do   default=$(aws ec2 disable-ebs-encryption-by-default --region $region --query "{Encryption_By_Default:EbsEncryptionByDefault}" --output text); kms_key=$(aws ec2 get-ebs-default-kms-key-id --region $region | jq '.KmsKeyId'); echo "$region  --- $default  --- $kms_key"; done

PowerShell

デフォルトの暗号化設定を表示するには

特定のリージョンの場合


PS C:\> Get-EC2EbsEncryptionByDefault -Region region

アカウントの全リージョンの場合


PS C:\> (Get-EC2Region).RegionName | ForEach-Object { [PSCustomObject]@{ Region = $_; EC2EbsEncryptionByDefault = Get-EC2EbsEncryptionByDefault -Region $_; EC2EbsDefaultKmsKeyId = Get-EC2EbsDefaultKmsKeyId -Region $_ } } | Format-Table -AutoSize

暗号化をデフォルトで有効にするには

特定のリージョンの場合


PS C:\> Enable-EC2EbsEncryptionByDefault -Region region

アカウントの全リージョンの場合


PS C:\> (Get-EC2Region).RegionName | ForEach-Object { [PSCustomObject]@{ Region = $_; EC2EbsEncryptionByDefault = Enable-EC2EbsEncryptionByDefault -Region $_; EC2EbsDefaultKmsKeyId = Get-EC2EbsDefaultKmsKeyId -Region $_ } } | Format-Table -AutoSize

暗号化をデフォルトで無効にするには

特定のリージョンの場合


PS C:\> Disable-EC2EbsEncryptionByDefault -Region region

アカウントの全リージョンの場合


PS C:\> (Get-EC2Region).RegionName | ForEach-Object { [PSCustomObject]@{ Region = $_; EC2EbsEncryptionByDefault = Disable-EC2EbsEncryptionByDefault -Region $_; EC2EbsDefaultKmsKeyId = Get-EC2EbsDefaultKmsKeyId -Region $_ } } | Format-Table -AutoSize

既存のスナップショットまたは暗号化されたボリュームに関連付けられている KMS キーを変更することはできません。ただし、スナップショットコピーオペレーション中に別の KMS キーを関連付けて、コピーしたスナップショットを新しい KMS キーで暗号化できます。

EBS リソースの暗号化

EBS ボリュームを暗号化するには、デフォルトでの暗号化を使用するか、暗号化するボリュームを作成するときに暗号化を有効にします。

ボリュームを暗号化する場合、ボリュームの暗号化に使用する対称暗号化 KMS キーを指定できます。KMS キーが指定されていない場合、暗号化に使用される KMS キーはソーススナップショットの暗号化状態とその所有権によって異なります。詳細については、暗号化結果の表を参照してください。

注記

API または AWS CLI を使用して KMS キーを指定している場合は、AWS によって KMS キーが非同期的に認証されます。無効な KMS キー ID、エイリアス、または ARN を指定すると、アクションは完了したように見える場合がありますが、最終的には失敗します。

既存のスナップショットまたはボリュームに関連付けられている KMS キーを変更することはできません。ただし、スナップショットコピーオペレーション中に別の KMS キーを関連付けて、コピーしたスナップショットを新しい KMS キーで暗号化できます。

作成時の空のボリュームの暗号化

新しい空の EBS ボリュームを作成するときは、特定のボリューム作成オペレーションで暗号化を有効にすることで暗号化できます。デフォルトで EBS 暗号化を有効にしたボリュームでは、EBS 暗号化用のデフォルト KMS キーを使用した暗号化が、自動的に実行されます。または、ボリュームの作成オペレーションごとに異なる対称暗号化 KMS キーを指定することもできます。ボリュームは最初に使用可能になった時点で暗号化されているため、データは常に保護されています。詳細な手順については、Amazon EBS ボリュームの作成を参照してください。

デフォルトでは、ボリュームの作成時に選択した KMS キーが、ボリュームから作成したスナップショットとそれらの暗号化されたスナップショットから復元したボリュームを暗号化します。暗号化されたボリュームまたはスナップショットから暗号化を削除することはできません。つまり、暗号化されたスナップショット、または暗号化されたスナップショットのコピーから復元されたボリュームは、常に暗号化されます。

暗号化されたボリュームのパブリックスナップショットはサポートされていませんが、暗号化されたスナップショットを特定のアカウントと共有できます。詳細な手順については、Amazon EBS スナップショットの共有を参照してください。

暗号化されていないリソースの暗号化

暗号化されていない既存のボリュームまたはスナップショットを直接暗号化することはできません。ただし、暗号化されていないボリュームまたはスナップショットから暗号化されたボリュームあるいはスナップショットを作成できます。暗号化をデフォルトで有効にした場合、Amazon EBS は EBS 暗号化のデフォルト KMS キーを使用して、新しいボリュームとスナップショットを自動的に暗号化します。それ以外の場合は、Amazon EBS 暗号化のデフォルトの KMS キーまたは対称カスタマーマネージド型暗号化キーを使用して、個々のボリュームまたはスナップショットを作成するときに暗号化を有効にすることができます。詳細については、Amazon EBS ボリュームの作成および Amazon EBS スナップショットのコピーを参照してください。

スナップショットコピーをカスタマー管理キーに暗号化するには、暗号化されていないスナップショットをコピーする (デフォルトでの暗号化が有効になっていない場合) に示すように、暗号化を有効にし、KMS キーを指定する必要があります。

重要

EBS-Backed AMI からインスタンスを起動するときに新しい暗号化状態を適用することもできます。これは、EBS-backed AMI に、説明の通りに暗号化できる EBS ボリュームのスナップショットが含まれているためです。詳細については、EBS-backed AMI での暗号化の利用を参照してください。

AWS KMSキーをローテーションします

暗号化のベストプラクティスでは、暗号化キーの広範な再利用を推奨していません。KMS キーの新しい暗号化マテリアルを作成するには、新しい KMS キーを作成し、アプリケーションまたはエイリアスを変更して新しい KMS キーを使用します。または、既存の KMS キーの自動キーローテーションを有効にすることができます。

KMS キーの自動キーローテーションを有効にすると、AWS KMSは KMS キーの新しい暗号化マテリアルを毎年生成します。AWS KMSは古い暗号化マテリアルをすべて保存するため、KMS キーで暗号化されたすべてのデータを復号することができます。KMS キーを削除しない限り、AWS KMSはローテーションされたキーマテリアルを一切削除しません。

データの暗号化にローテーションされた KMS キーを使用する場合、AWS KMS は現在のキーマテリアルを使用します。暗号化データの復号化にローテーションされた KMS キーを使用する場合、AWS KMSはそのデータの暗号化に使用されたキーマテリアルのバージョンを使用します。ローテーションされた KMS キーは、コード変更なしでアプリケーションと AWS サービスで安全に使用できます。

注記

自動キーローテーションは、AWS KMS が作成するキーマテリアルを使用した対称カスタマー管理型キーのみでサポートされています。AWS KMS は AWS マネージドキーを毎年自動的にロテーションします。AWS マネージドキーのキーローテーションを有効化または無効化することはできません。

詳細については、「AWS Key Management Service 開発者ガイド」の「キーの自動ローテーションの仕組み」を参照してください。

暗号化シナリオ

暗号化された EBS リソースを作成すると、ボリューム作成パラメータまたは AMI やインスタンスのブロックデバイスマッピングで別のカスタマーマネージド型キーを指定しない限り、アカウントの EBS 暗号化のデフォルト KMS キーによって暗号化されます。詳細については、EBS 暗号化のデフォルトの KMS キーを参照してください。

次の例では、ボリュームとスナップショットの暗号化状態を管理する方法を示します。暗号化のケースの完全なリストについては、暗号化の結果の表を参照してください。

例

暗号化されていないボリュームを復元する (デフォルトでの暗号化が有効になっていない場合)
暗号化されていないボリュームを復元する (デフォルトでの暗号化が有効になっている場合)
暗号化されていないスナップショットをコピーする (デフォルトでの暗号化が有効になっていない場合)
暗号化されていないスナップショットをコピーする (デフォルトでの暗号化が有効になっている場合)
暗号化ボリュームを再暗号化する
暗号化スナップショットを再暗号化する
暗号化されたボリュームと暗号化されていないボリュームとの間でデータを移行する
暗号化の結果

暗号化されていないボリュームを復元する (デフォルトでの暗号化が有効になっていない場合)

デフォルトでの暗号化を有効にしないと、暗号化されていないスナップショットから復元されたボリュームは、デフォルトで暗号化されません。ただし、Encrypted パラメータと、必要に応じて KmsKeyId パラメータを設定して、結果のボリュームを暗号化することができます。以下の図は、そのプロセスを示したものです。

KmsKeyId パラメータを省略すると、結果のボリュームは EBS 暗号化のデフォルト KMS キーを使用して暗号化されます。ボリュームを別の KMS キーに暗号化するには、KMS キー ID を指定する必要があります。

詳細については、スナップショットからのボリュームの作成を参照してください。

暗号化されていないボリュームを復元する (デフォルトでの暗号化が有効になっている場合)

デフォルトでの暗号化を有効にした場合、暗号化されていないスナップショットから復元されたボリュームには暗号化が必須であり、デフォルトの KMS キーを使用するために暗号化パラメータは必要ありません。以下の図に、このデフォルトの簡単なケースを示しています。

復元したボリュームを対称カスタマーマネージド型暗号化キーに暗号化する場合は、暗号化されていないボリュームを復元する (デフォルトでの暗号化が有効になっていない場合) に示すように Encrypted と KmsKeyId の両方のパラメータを指定する必要があります。

暗号化されていないスナップショットをコピーする (デフォルトでの暗号化が有効になっていない場合)

デフォルトでの暗号化を有効にしないと、暗号化されていないスナップショットのコピーは、デフォルトで暗号化されません。ただし、Encrypted パラメータと、必要に応じて KmsKeyId パラメータを設定して、結果のスナップショットを暗号化することができます。KmsKeyId を省略すると、結果のスナップショットはデフォルトの KMS キーに暗号化されます。ボリュームを別の対称暗号化 KMS キーに暗号化するには、KMS キー ID を指定する必要があります。

以下の図は、そのプロセスを示したものです。

暗号化されていないスナップショットから暗号化されたスナップショットを作成します。

EBS ボリュームを暗号化するには、暗号化されていないスナップショットを暗号化されたスナップショットにコピーし、その暗号化されたスナップショットからボリュームを作成することができます。詳細については、Amazon EBS スナップショットのコピーを参照してください。

暗号化されていないスナップショットをコピーする (デフォルトでの暗号化が有効になっている場合)

デフォルトでの暗号化を有効にした場合、暗号化されていないスナップショットのコピーには暗号化が必須であり、デフォルトの KMS キーを使用する場合は、暗号化パラメータは必要ありません。このデフォルトのケースを次の図に示します。

暗号化ボリュームを再暗号化する

CreateVolume アクションが暗号化されたスナップショットに対して実行されるときは、別の KMS キーでそれを再暗号化することができます。以下の図は、そのプロセスを示したものです。この例では、KMS キー A と KMS キー B の 2 つの KMS キーを所有しています。ソーススナップショットは KMS キー A によって暗号化されています。ボリュームの作成中に、パラメータとして指定された KMS キー B の KMS キー ID を使用して、ソースデータは自動的に復号され、次に KMS キー B によって再暗号化されます。

暗号化されたスナップショットをコピーして、そのコピーを新しい KMS キーに暗号化します。

詳細については、スナップショットからのボリュームの作成を参照してください。

暗号化スナップショットを再暗号化する

スナップショットをコピー時に暗号化する機能により、既に暗号化された自己所有のスナップショットに新しい対称暗号化 KMS キーを適用できます。結果として作成されたコピーから復元されたボリュームには、新しい KMS キーを使用してのみアクセスすることができます。以下の図は、そのプロセスを示したものです。この例では、KMS キー A と KMS キー B の 2 つの KMS キーを所有しています。ソーススナップショットは KMS キー A によって暗号化されています。コピー中に、パラメータとして指定された KMS キー B の KMS キー ID を使用して、ソースデータは自動的に KMS キー B によって再暗号化されます。

関連するシナリオでは、共有されているスナップショットのコピーに新しい暗号化パラメータを適用するよう選択できます。デフォルトでは、コピーは、スナップショットの所有者によって共有された KMS キーを使用して暗号化されます。ただし、管理する別の KMS キーを使用して、共有スナップショットのコピーを作成することをお勧めします。これにより、元の KMS キーが侵害された場合や、所有者が何らかの理由で KMS キーを無効にした場合に、ボリュームへのアクセスが保護されます。詳細については、暗号化とスナップショットのコピーを参照してください。

暗号化されたボリュームと暗号化されていないボリュームとの間でデータを移行する

暗号化されているボリュームと暗号化されていないボリュームの両方に対してアクセス許可がある場合は、これらの間で自由にデータを転送できます。EC2 では、暗号化と復号化のオペレーションが透過的に実行されます。

例えば、rsync コマンドを使用してデータをコピーします。次のコマンドでは、移行元のデータは /mnt/source にあり、移行先のボリュームは /mnt/destination にマウントされています。


[ec2-user ~]$ sudo rsync -avh --progress /mnt/source/ /mnt/destination/

暗号化の結果

次の表に、設定可能な組み合わせごとの暗号化の結果を示します。

EBS 暗号化が有効になっていますか?	デフォルトで暗号化が有効になっていますか?	ボリュームのソース	デフォルト (カスタマーマネージド型キーの指定なし)	カスタム (カスタマーマネージド型キーの指定あり)
いいえ	いいえ	新しい (空の) ボリューム	暗号化されていない	該当なし
いいえ	いいえ	所有する暗号化されていないスナップショット	暗号化されていない
いいえ	いいえ	お客様が所有する暗号化されたスナップショット	同じキーで暗号化されている
いいえ	いいえ	お客様と共有されている暗号化されていないスナップショット	暗号化されていない
いいえ	いいえ	お客様と共有されている暗号化されたスナップショット	デフォルトのカスタマーマネージド型キーで暗号化*
はい	いいえ	新しいボリューム	デフォルトのカスタマーマネージド型キーで暗号化	指定したカスタマーマネージド型キーにより暗号化 **
はい	いいえ	所有する暗号化されていないスナップショット	デフォルトのカスタマーマネージド型キーで暗号化
はい	いいえ	お客様が所有する暗号化されたスナップショット	同じキーで暗号化されている
はい	いいえ	お客様と共有されている暗号化されていないスナップショット	デフォルトのカスタマーマネージド型キーで暗号化
はい	いいえ	お客様と共有されている暗号化されたスナップショット	デフォルトのカスタマーマネージド型キーで暗号化
いいえ	はい	新しい (空の) ボリューム	デフォルトのカスタマーマネージド型キーで暗号化	該当なし
いいえ	はい	所有する暗号化されていないスナップショット	デフォルトのカスタマーマネージド型キーで暗号化
いいえ	はい	お客様が所有する暗号化されたスナップショット	同じキーで暗号化されている
いいえ	はい	お客様と共有されている暗号化されていないスナップショット	デフォルトのカスタマーマネージド型キーで暗号化
いいえ	はい	お客様と共有されている暗号化されたスナップショット	デフォルトのカスタマーマネージド型キーで暗号化
はい	はい	新しいボリューム	デフォルトのカスタマーマネージド型キーで暗号化	指定したカスタマーマネージド型キーにより暗号化
はい	はい	所有する暗号化されていないスナップショット	デフォルトのカスタマーマネージド型キーで暗号化
はい	はい	お客様が所有する暗号化されたスナップショット	同じキーで暗号化されている
はい	はい	お客様と共有されている暗号化されていないスナップショット	デフォルトのカスタマーマネージド型キーで暗号化
はい	はい	お客様と共有されている暗号化されたスナップショット	デフォルトのカスタマーマネージド型キーで暗号化

* これは、AWS アカウントとリージョンで、EBS 暗号化に使用されるデフォルトのカスタマーマネージド型キーです。デフォルトでは、これが EBS 用の一意の AWS マネージドキーになりますが、カスタマーマネージド型キーを指定することもできます。詳細については、EBS 暗号化のデフォルトの KMS キーを参照してください。

** これは、ボリュームの起動時に指定されたカスタマーマネージド型キーです。このカスタマーマネージド型キーは、AWS アカウントとリージョンで、既定のカスタマーマネージド型キーの代わりに使用されます。

API と CLI を使用した暗号化のデフォルトの設定

以下の API アクションおよび CLI コマンドを使用して、デフォルトで暗号化およびデフォルトの KMS キーを管理できます。

API アクション	CLI コマンド	説明
DisableEbsEncryptionByDefault	disable-ebs-encryption-by-default	デフォルトでの暗号化を無効にします。
EnableEbsEncryptionByDefault	enable-ebs-encryption-by-default	デフォルトでの暗号化を有効にします。
GetEbsDefaultKmsKeyId	get-ebs-default-kms-key-id	デフォルトの KMS キーについて説明します。
GetEbsEncryptionByDefault	get-ebs-encryption-by-default	デフォルトの暗号化が有効かどうかを示します。
ModifyEbsDefaultKmsKeyId	modify-ebs-default-kms-key-id	EBS ボリュームの暗号化に使用されるデフォルトの KMS キーを変更します。
ResetEbsDefaultKmsKeyId	reset-ebs-default-kms-key-id	EBS ボリュームの暗号化に使用するデフォルトの KMS キーとして、AWS マネージドキーをリセットします。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

ファイルシステムの拡張

高速スナップショット復元

Amazon EBS 暗号化

コンテンツ

EBS 暗号化の仕組み

暗号化されたスナップショットに対する EBS 暗号化の動作

暗号化されていないスナップショットに対する EBS 暗号化の動作

要件

サポートされるボリュームタイプ

サポートされるインスタンスタイプ

ユーザーのアクセス許可

ヒント

インスタンスの権限

注記

EBS 暗号化のデフォルトの KMS キー

重要

リージョンの EBS 暗号化用にデフォルト KMS キー を設定するには

リージョンの EBS 暗号化用にデフォルト KMS キー を設定するには

デフォルトでの暗号化

考慮事項

リージョンの暗号化をデフォルトで有効にするには

デフォルトの暗号化設定を表示するには

暗号化をデフォルトで有効にするには

暗号化をデフォルトで無効にするには

デフォルトの暗号化設定を表示するには

暗号化をデフォルトで有効にするには

暗号化をデフォルトで無効にするには

EBS リソースの暗号化

注記

作成時の空のボリュームの暗号化

暗号化されていないリソースの暗号化

重要

AWS KMSキーをローテーションします

注記

暗号化シナリオ

例

暗号化されていないボリュームを復元する (デフォルトでの暗号化が有効になっていない場合)

暗号化されていないボリュームを復元する (デフォルトでの暗号化が有効になっている場合)

暗号化されていないスナップショットをコピーする (デフォルトでの暗号化が有効になっていない場合)

暗号化されていないスナップショットをコピーする (デフォルトでの暗号化が有効になっている場合)

暗号化ボリュームを再暗号化する

暗号化スナップショットを再暗号化する

暗号化されたボリュームと暗号化されていないボリュームとの間でデータを移行する

暗号化の結果

API と CLI を使用した暗号化のデフォルトの設定

リージョンの EBS 暗号化用にデフォルト KMS キーを設定するには

リージョンの EBS 暗号化用にデフォルト KMS キーを設定するには