Amazon RDS リソースの暗号化 - Amazon Relational Database Service

Amazon RDS リソースの暗号化

保管時の Amazon RDS DB インスタンスとスナップショットを暗号化するには、Amazon RDS DB インスタンスの暗号化オプションを有効にします。保管時に暗号化されるデータには、DB インスタンス、自動バックアップ、リードレプリカ、スナップショット用の基本的なストレージが含まれます。

Amazon RDS の暗号化された DB インスタンスでは、業界標準の AES-256 暗号化アルゴリズムを使用して、Amazon RDS DB インスタンスをホストしているデータをサーバーで暗号化します。データが暗号化されると、Amazon RDS はパフォーマンスの影響を最小限に抑えながら、データへのアクセスと復号の認証を透過的に処理します。暗号化を使用するために、データベースのクライアントアプリケーションを変更する必要はありません。

注記

暗号化された/されていない DB インスタンスのでは、AWS リージョン間でレプリケートする場合でも、ソースとリードレプリカ間で送信されるデータは暗号化されます。

Amazon RDS リソースの暗号化の概要

Amazon RDS の暗号化された DB インスタンスは、基になるストレージへの不正アクセスからデータを保護することによって、データ保護の追加レイヤーを提供します。Amazon RDS の暗号化を使用して、クラウドにデプロイされるアプリケーションのデータ保護を強化することや、および保管時のデータ暗号化に関するコンプライアンスの要件を達成することができます。

Amazon RDS は、Transparent Data Encryption (TDE) による Oracle または SQL Server の DB インスタンスの暗号化もサポートします。TDE は、保管時の暗号化とともに使用できますが、TDE と保管時の暗号化を同時に使用すると、データベースのパフォーマンスに若干影響する可能性があります。個々の暗号化方式ごとに異なるキーを管理する必要があります。TDE の詳細については「Oracle Transparent Data Encryption」または「SQL サーバーの透過的なデータの暗号化サポート」を参照してください。

Amazon RDS リソースを暗号化および復号するために使用するカスタマーマスターキー (CMK) を管理するには、AWS Key Management Service (AWS KMS) を使用します。AWS KMS は、安全で可用性の高いハードウェアとソフトウェアを組み合わせて、クラウド向けに拡張されたキー管理システムを提供します。AWS KMS を使用すると、CMK を作成し、この CMK の使用方法を制御するポリシーを定義できます。AWS KMS は CloudTrail をサポートするため、CMK の使用を監査して、CMK が適切に使用されていることを確認できます。AWS KMS CMK は、Amazon RDS およびサポートされている AWS のサービス (Amazon S3、Amazon EBS、Amazon Redshift など) で使用できます。AWS KMS をサポートしているサービスのリストについては、AWS Key Management Service デベロッパーガイドの「サポートされているサービス」を参照してください。

Amazon RDS の暗号化された DB インスタンスでは、すべてのログ、バックアップ、スナップショットが暗号化されます。また、Amazon RDS の暗号化されたインスタンスのリードレプリカも、同じ AWS リージョンにある場合にプライマリ DB インスタンスと同じ CMK を使用して暗号化されます。プライマリ DB インスタンスとリードレプリカが異なる AWS リージョンにある場合には、その AWS リージョンの CMK を使用して暗号化します。

DB インスタンスの Amazon RDS 暗号化の有効化

新しい DB インスタンスの暗号化を有効にするには、Amazon RDS コンソールで [Enable encryption] を選択します。DB インスタンスの作成については、「Amazon RDS DB インスタンスの作成」を参照してください。

AWS CLI の create-db-instance コマンドを使用して、暗号化された DB インスタンスを作成するには、--storage-encrypted パラメータを true に設定します。CreateDBInstance API オペレーションを使用する場合は、StorageEncrypted パラメータを true に設定します。

暗号化された DB インスタンスを作成するときに、CMK の AWS KMS カスタマーマスターキー (CMK) 識別子を指定することもできます。AWS KMS CMK 識別子を指定しない場合、Amazon RDS は新しい DB インスタンスにデフォルトの CMK を使用します。AWS KMS は、AWS アカウントの Amazon RDS のデフォルト CMK を作成します。AWS アカウントのデフォルト CMK は、AWS リージョンごとに異なります。

暗号化された DB インスタンスを作成したら、その DB インスタンスで使用されている CMK の種類を変更することはできません。したがって、暗号化された DB インスタンスを作成する前に、CMK の要件を確認してください。

AWS CLI create-db-instance コマンドを使用して暗号化された DB インスタンスを作成する場合、--kms-key-id パラメータを、DB インスタンスの AWS KMS CMK の Amazon リソースネーム (ARN) に設定します。Amazon RDS API の CreateDBInstance アクションを使用する場合は、KmsKeyId パラメータを、DB インスタンスの AWS KMS CMK の ARN に設定します。

別のアカウントの CMK の ARN を使用して、DB インスタンスを暗号化できます。または、その新しい DB インスタンスを暗号化するために使用される AWS KMS CMK を所有しているのと同じ AWS アカウントで、DB インスタンスを作成できます。この場合、渡す AWS KMS キー識別子は、CMK の ARN ではなく AWS KMS CMK エイリアスになります。

Amazon RDS の暗号化の可用性

Amazon RDS 暗号化は、現在すべてのデータベースエンジンおよびストレージタイプに使用できます。

Amazon RDS 暗号化は、ほとんどの DB インスタンスクラスで使用できます。次の表は、Amazon RDS 暗号化をサポートしていない DB インスタンスクラスの一覧です。

インスタンスタイプ インスタンスクラス

汎用 (M1)

db.m1.small

db.m1.medium

db.m1.large

db.m1.xlarge

メモリ最適化 (M2)

db.m2.xlarge

db.m2.2xlarge

db.m2.4xlarge

バースト可能 (T2)

db.t2.micro

注記

SQL Server の Express Edition を実行している DB インスタンスで保管時の暗号化を使用することはできません。​

Amazon RDS の暗号化された DB インスタンスの制限事項

Amazon RDS の暗号化された DB インスタンスには、以下の制限事項があります。

  • Amazon RDS DB インスタンスの暗号化は、DB インスタンスの作成時にのみ有効にすることができます。作成後に暗号化を有効にすることはできません。

    ただし、暗号化されていない DB スナップショットのコピーは暗号化できるので、暗号化されていない DB インスタンスに効果的に暗号化を追加できます。つまり、DB インスタンスのスナップショットを作成し、そのスナップショットの暗号化済みコピーを作成します。この暗号化されたスナップショットから DB インスタンスを復元することで、元の DB インスタンスの暗号化されたコピーを作成できます。詳細については、「のスナップショットのコピー」を参照してください。

  • 暗号化された DB インスタンスを変更して暗号化を無効にすることはできません。

  • 暗号化されていない DB インスタンスのリードレプリカを暗号化することや、暗号化されている DB インスタンスのリードレプリカを暗号化しないようにすることはできません。

  • 暗号化するリードレプリカは、両方が同じ AWS リージョンにある場合、ソース DB インスタンスと同じ CMK で暗号化する必要があります。

  • 暗号化されていないバックアップやスナップショットを、暗号化された DB インスタンスに復元することはできません。

  • ある AWS リージョンから別のリージョンに暗号化されたスナップショットをコピーするには、コピー先の AWS リージョンの AWS KMS キー識別子を指定する必要があります。これは、AWS KMS CMK が、作成される AWS リージョンに固有であるためです。

    ソーススナップショットは、コピープロセス中も暗号化されたままになります。AWS KMS は、コピープロセス処理中にエンベロープ暗号化を使用してデータを保護します。エンベロープ暗号化の仕組みの詳細については、「エンベロープ暗号化」を参照してください。