Amazon SQS コンソールを使用したキューのサーバー側の暗号化の設定

キューのメッセージのデータを保護するために、Amazon SQS では、新しく作成されたキューのサーバー側の暗号化がデフォルトで有効になっています。Amazon SQS は、Amazon Web Services キー管理サービス (Amazon Web Services KMS) と統合してサーバー側の暗号化 (SSE) 用の KMS キーを管理します。SSE の使用詳細については、「Amazon での保管時の暗号化 SQS」をご参照ください。

キューに割り当てる KMS キーは、キューの使用が承認されたすべてのプリンシパルの許可を含むキーポリシーが必要です。詳細については、キー管理をご参照ください。

KMS キーの所有者ではない場合、または kms:ListAliases および kms:DescribeKey の許可がないアカウントでログインした場合、Amazon SQS コンソールで KMS キーに関する情報を閲覧できません。これらの許可を付与するように、KMS キーの所有者へ依頼してください。詳しい情報については、キー管理をご参照ください。

キューの作成または編集する場合は、SSE-KMS を設定できます。

既存のキューに SSE-KMSを設定するには(コンソール)

1. Amazon SQSコンソールを開きます https://console.aws.amazon.com/sqs/。

2. ナビゲーションペインで [Queues(キュー)] を選択します。

3. キューを選択し、{編集}を選択します。

4. 暗号化を拡張します。

5. サーバー側の暗号化を使用するには、[有効] (デフォルト) を選択します。

   注記

   SSE を有効にすると、暗号化されたキューへの匿名の SendMessage リクエストと ReceiveMessage リクエストは拒否されます。Amazon SQS のセキュリティベストプラクティスでは、匿名リクエストを使用しないことを推奨しています。Amazon SQS キューに匿名リクエストを送信する場合は、必ず SSE を無効にしてください。

6. AWS キーマネジメントサービスキー (SSE-KMS)を選びます。

   コンソールは [Description] (概要)、[Account] (アカウント)、KMS キーの [KMS key ARN] (KMS キー ARN) を表示します。

7. キューの KMS キー ID を指定します。詳細については、「重要な用語」を参照してください。

   1. [Choose a KMS key alias] (KMS キーのエイリアスを選択) オプションを選択します。

   2. デフォルトキーは、Amazon SQS 用の Amazon Web Services マネージド KMS キーです。このキーを使用する場合、[KMS key] (KMS キー) リストから選択してください。

   3. Amazon Web Services アカウントでカスタム KMS キーを使用する場合、[KMS key] (KMS キー) リストから選択してください。カスタム KMS キーの作成手順については、Amazon Web Services キー管理サービスデベロッパーガイドのキー作成をご参照ください。

   4. リストにないカスタム KMS キーを使用、または別の Amazon Web Services アカウントのカスタム KMS キーを使用する場合、[Enter the KMS key alias] (KMS キーのエイリアス入力) を選択し、KMS キー Amazon リソースネーム (ARN) を入力します。

8. (任意) [Data key reuse period] (データキー再利用期間) について、1 分から 24 時間の範囲内で値を指定します。デフォルトは 5 分です。詳細については、「データキー再利用期間について」を参照してください。

9. SSE-KMS の設定が完了したら、保存を選択します。