クォータのリクエスト
AWS KMS は、1 秒あたりに要求される API オペレーションの数にクォータを設定します。各 API オペレーションの 1 秒あたりの クォータのリクエスト を示す表については、「各 AWS KMS API オペレーションの クォータのリクエスト」を参照してください。
API の クォータのリクエスト を超えると、リクエストが AWS KMS調整されます。つまり、有効なリクエストを拒否し、次のような ThrottlingException エラーを返します。応答するには、バックオフと再試行戦略を使用します。
You have exceeded the rate at which you may call KMS. Reduce the frequency of your calls. (Service: AWSKMS; Status Code: 400; Error Code: ThrottlingException; Request ID:<ID>
クォータのリクエスト は、API オペレーション、AWS リージョン、および CMK タイプなどのその他の要因によって異なります。
クォータを超える必要がある場合は、サービスクォータ でクォータの増加をリクエストします。サービスクォータ コンソール
AWS KMS クォータの引き上げをリクエストする方法については、「AWS KMS クォータの引き上げをリクエストする」を参照してください。
GenerateDataKey オペレーションの クォータのリクエスト を超えている場合は、AWS 暗号化 SDK のデータキーキャッシュ機能の使用を検討してください。データキーを再利用することで、AWS KMS へのリクエストの頻度が低下することがあります。
クォータのリクエスト に加えて、AWS KMS では、リソースクォータを使用して、すべてのユーザーの容量を確保します。詳細については、「リソースクォータ」を参照してください。
トピック
クォータのリクエスト を適用する
クォータのリクエスト を確認する際には、次の点に注意してください。
-
クォータのリクエスト は、カスタマー管理 CMK とAWS 管理 CMK の両方に適用されます。AWS 所有の CMK の使用は、アカウント内のリソースを保護するために使用されている場合でも、AWS アカウントの クォータのリクエスト にはカウントされません。
-
スロットリングは、リージョン内のすべてのタイプの CMK に対するすべてのリクエストに基づいています。この合計には、ユーザーに代わる AWS のサービスからのリクエストを含む、AWS アカウント内のすべてのプリンシパルからのリクエストが含まれます。
-
それぞれ クォータのリクエスト が個別に計算されます。たとえば、CreateKey オペレーションに対するリクエストは、CreateAlias オペレーションに対するリクエストの クォータのリクエスト には影響しません。
CreateAliasリクエストが調整されていても、CreateKeyリクエストは正常に完了できます。 -
暗号化オペレーションはクォータを共有しますが、共有クォータは他のオペレーションのクォータとは無関係に計算されます。たとえば、Encrypt および Decrypt オペレーションの呼び出しは クォータのリクエスト を共有しますが、そのクォータは EnableKey などの管理オペレーションのクォータとは無関係です。たとえば、欧州 (ロンドン) リージョン では、対称 CMK に対して 10,000 の暗号化オペレーションと 1 秒あたり 5 回の
EnableKeyオペレーションを調整なしで実行できます。
暗号化オペレーションの共有クォータ
AWS KMS 暗号化オペレーションは クォータのリクエスト を共有します。CMK でサポートされている暗号化オペレーションの任意の組み合わせをリクエストできます。これにより、暗号化オペレーションの総数がその種類の CMK に対する クォータのリクエスト を超えないようにできます。例外は、別個のクォータを共有する GenerateDataKeyPair と GenerateDataKeyPairWithoutPlaintext です。
異なるタイプの CMK のクォータは、個別に計算されます。各クォータは、1 秒ごとに指定されたキータイプを持つ AWS アカウントおよびリージョンにおけるこれらのオペレーションに対するすべてのリクエストに適用されます。
-
暗号化オペレーション (対称) リクエストの頻度は、アカウントとリージョンで対称 CMK を使用する暗号化オペレーションの共有リクエストクォータです。
たとえば、1 秒あたり 10,000 リクエストの共有クォータを持つ AWS リージョンで対称 CMK を使用しているとします。毎秒 7,000 件の GenerateDataKey リクエストと毎秒 2,000 件の Decrypt リクエストを行う場合、AWS KMS はリクエストを制限しません。ただし、毎秒 9,500 件の
GenerateDataKeyリクエストと 1,000 件の Encrypt およびリクエストを行うと、共有クォータを超えているため、AWS KMS はリクエストを制限します。 -
暗号化オペレーション (RSA) リクエストの頻度は、RSA 非対称 CMK を使用する暗号化オペレーションの共有リクエストクォータです。
たとえば、リクエストクォータが 1 秒あたり 500 オペレーションであれば、暗号化と復号が可能な RSA CMK で 200 件の暗号化リクエストと 100 件の復号リクエスト、さらに署名と検証が可能な RSA CMK で 50 件の署名リクエストと 150 件の検証リクエストを行うことができます。
-
暗号化オペレーション (ECC) リクエストの頻度は、楕円曲線 (ECC) 非対称 CMK を使用する暗号化オペレーションの共有リクエストクォータです。
たとえば、リクエストクォータが 1 秒あたり 300 オペレーションであれば、署名と検証が可能な RSA CMK を使用して、100 件の署名リクエストと 200 件の検証リクエストを行うことができます。
異なるキータイプのクォータも個別に計算されます。たとえば、アジアパシフィック (シンガポール) リージョン で、対称 CMK と非対称 CMK の両方を使用する場合、対称 CMK で 1 秒あたり最大 10,000 件の呼び出しと RSA 非対称 CMK で 1 秒あたり最大 500 件の追加呼び出し、さらに ECC ベースの CMK を使用して 1 秒あたり最大 300 件の追加リクエストを行うことができます。
ユーザーに代わって API が実行するリクエスト
API が直接リクエストを行うこと、あるいは統合された AWS サービスを使用して、ユーザーに代わって API が AWS KMS にリクエストを行うようにできます。クォータはどちらの種類のリクエストにも適用されます。
たとえば、AWS KMS (SSE-KMS) でサーバー側の暗号化を使用して、Amazon S3 にデータを保存するとします。SSE-KMS で暗号化された S3
オブジェクトをアップロードまたはダウンロードするたびに、Amazon S3 はユーザーに代わって GenerateDataKey (アップロードの場合) または Decrypt (ダウンロードの場合) リクエストを AWS KMS に対して行います。これらのリクエストはクォータに対してカウントされるため、SSE-KMS を使って暗号化された
S3 オブジェクトの 1 秒あたりのアップロード数またはダウンロード数の総数が合計 5,500 件（または AWS リージョンにより 10,000 件または 30,000
件）を超えた場合、AWS KMS はリクエストを調整します。
クロスアカウントリクエスト
1 つの AWS アカウントのアプリケーションが異なるアカウントが所持する CMK を使用する場合、これはクロスアカウントリクエストと呼ばれます。クロスアカウントリクエストでは、AWS KMS は、CMK を所有するアカウントではなく、リクエストを行うアカウントを調整します。たとえば、アカウント A のアプリケーションがアカウント B の CMK を使用する場合、CMK の使用はアカウント A のクォータにのみ適用されます。
カスタムキーストアのクォータ
AWS KMS カスタムキーストアは、対称 CMK のみをサポートしています。カスタムキーストアの CMK を使用する暗号化オペレーションでは、カスタムキーストアごとに 1 秒あたり 1,800 オペレーションの クォータのリクエスト を共有します。ただし、このクォータが持つ意味は、オペレーションによって異なります。GenerateDataKey、GenerateDataKeyWithoutPlaintext や、GenerateRandom といったオペレーションは、Encrypt、Decrypt や ReEncrypt オペレーションの 1 秒あたりおよそ 3 倍のクォータを消費します。
たとえば、Encrypt や Decrypt のオペレーションのみをリクエストしていれば、1 秒あたり約 1,800 オペレーションを実行できます。一方、GenerateDataKey オペレーションを繰り返しリクエストした場合、パフォーマンスは 1 秒あたり約 600 オペレーションになります。GenerateDataKey と Decrypt のオペレーションをおよそ半々の割合で実行した場合、1 秒あたり約 1,200 オペレーションを実行できます。
他の AWS KMS クォータとは異なり、カスタムキーストアのクォータは調整できません。サービスクォータ を使用したり、AWS サポート でケースを作成したりして、引き上げることはできません。
カスタムキーストアに関連付けられている AWS CloudHSM クラスターが、カスタムキーストアに関連しないものを含む多数のコマンドを処理している場合、予想よりも低い速度で
AWS KMS ThrottlingException が発生する可能性があります。この問題が発生した場合は、AWS KMS へのリクエストの頻度を下げる、関連のないコマンドの処理を減らす、またはカスタムキーストアに専用の
AWS CloudHSM クラスターを使用するなどの対策を取ります。
各 AWS KMS API オペレーションの クォータのリクエスト
この表では、サービスクォータのクォータコードと、各 AWS KMS リクエストクォータのデフォルト値を示しています。
| クォータ名 | デフォルト値 (1 秒あたり) |
|---|---|
|
適用先..
|
これらの共有クォータは、AWS のリージョンおよびリクエストで使用される CMK タイプによって異なります。各クォータは個別に計算されます。
カスタムキーストアのクォータ (対称 CMK):
|
|
適用先..
|
RSA CMK の場合は 500（共有） |
|
適用先..
|
楕円曲線 (ECC) CMK の場合は 300 (共有) |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
50 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
100 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
適用先..
|
25 |
|
適用先..
|
10 |
|
適用先..
|
5 |
|
適用先..
|
25 |
|
適用先..
|
1 |
|
適用先..
|
0.5 (2 秒に 1 回) |
|
適用先..
|
0.1 (10 秒に 1 回) |
|
|
30 |
|
|
30 |
|
|
0.25 (4 秒に 1 回) |
|
|
5 |
|
|
5 |
|
|
100 |
|
|
100 |
|
|
100 |
|
|
100 |
|
|
100 |
|
|
5 |
|
|
5 |
|
|
15 |
|
|
15 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
