クォータのリクエスト - AWS Key Management Service

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

クォータのリクエスト

AWS KMS は、1 秒あたりに要求される API オペレーションの数にクォータを設定します。リクエストクォータは、API オペレーション、AWS リージョン、および KMS キータイプなどのその他の要因によって異なります。API リクエストのクォータを超えると、AWS KMS はリクエストを調整します

AWS KMS リクエストクォータは、AWS CloudHSM キーストアのリクエストクォータを除き、すべて調整可能です。クォータの引き上げをリクエストするには、「Service Quotas ユーザーガイド」の「クォータ引き上げリクエスト」を参照してください。クォータの引き下げリクエスト、Service Quotas に一覧表示されていないクォータの変更、AWS KMS の Service Quotas を使用できない AWS リージョン のクォータの変更を行うには、AWS Support センターにアクセスしてケースを作成します。

GenerateDataKey オペレーションのリクエストクォータを超えている場合は、 のデータキーキャッシュ機能の使用を検討してくださいAWS Encryption SDK。データキーを再利用することで、AWS KMS へのリクエストの頻度が低下することがあります。

AWS KMS では、リクエストクォータに加えて、リソースクォータを使用してすべてのユーザーの容量を確保します。詳細については、「リソースクォータ」を参照してください。

リクエストレートのトレンドを表示するには、Service Quotas コンソールを使用してください。リクエストレートがクォータ値の特定のパーセンテージに達したときに警告する Amazon CloudWatch アラームを作成することもできます。詳細については、 AWS セキュリティブログ「Service Quotas と Amazon を使用して AWS KMS API リクエストレートを管理する CloudWatch」を参照してください。

AWS KMS API オペレーションごとにクォータをリクエストする

この表では、Service Quotas のクォータコードと、各 AWS KMS リクエストクォータのデフォルト値を示しています。AWS KMS リクエストクォータは、AWS CloudHSM キーストアのリクエストクォータを除き、すべて調整可能です。

注記

この表のすべてのデータを表示するには、水平または垂直にスクロールする必要があります。

クォータ名 デフォルト値 (1 秒あたりのリクエスト)

Cryptographic operations (symmetric) request rate

適用先:

  • Decrypt

  • Encrypt

  • GenerateDataKey

  • GenerateDataKeyWithoutPlaintext

  • GenerateMac

  • GenerateRandom

  • ReEncrypt

  • VerifyMac

これらの共有クォータは、AWS リージョン およびリクエストで使用される KMS キーのタイプによって異なります。各クォータは個別に計算されます。

  • 5,500 (共有)

  • 以下のリージョンでは 10,000 (共有):

    • 米国東部 (オハイオ)、us-east-2

    • アジアパシフィック (シンガポール)、ap-southeast-1

    • アジアパシフィック (シドニー)、ap-southeast-2

    • アジアパシフィック (東京)、ap-norteast-1

    • ヨーロッパ (フランクフルト)、eu-central-1

    • ヨーロッパ (ロンドン)、eu–west-2

  • 以下のリージョンでは 50,000 (共有):

    • 米国東部 (バージニア北部)、us-east-1

    • 米国西部 (オレゴン)、us-west-2

    • ヨーロッパ (アイルランド)、eu-west-1

Cryptographic operations (RSA) request rate

適用先:

  • Decrypt

  • Encrypt

  • ReEncrypt

  • Sign

  • Verify

RSA KMS キーの場合は 500 (共有)

Cryptographic operations (ECC) request rate

適用先:

  • Sign

  • Verify

楕円曲線 (ECC) KMS キーの場合は 300 (共有)

Cryptographic operations (SM) request rate

適用先:

  • Decrypt

  • Encrypt

  • ReEncrypt

  • Sign

  • Verify

SM2 (中国リージョンのみ) KMS キーの場合は 300 (共有)

Custom key store request quotas

適用先:

  • Decrypt

  • Encrypt

  • GenerateDataKey

  • GenerateDataKeyWithoutPlaintext

  • GenerateRandom

  • ReEncrypt

カスタムキーストアのリクエストクォータは、カスタムキーストアごとに個別に計算されます。
  • AWS CloudHSM キーストアごとに 1,800 (共有)

  • 外部キーストアごとに 1,800 (共有)

CancelKeyDeletion request rate

5

ConnectCustomKeyStore request rate

5

CreateAlias request rate

5

CreateCustomKeyStore request rate

5

CreateGrant request rate

50

CreateKey request rate

5

DeleteAlias request rate

15

DeleteCustomKeyStore request rate

5

DeleteImportedKeyMaterial request rate

5

DescribeCustomKeyStores request rate

5

DescribeKey request rate

2000

DisableKey request rate

5

DisableKeyRotation request rate

5

DisconnectCustomKeyStore request rate

5

EnableKey request rate

5

EnableKeyRotation request rate

15

GenerateDataKeyPair (ECC_NIST_P256) request rate

適用先:

  • GenerateDataKeyPair

  • GenerateDataKeyPairWithoutPlaintext

100

GenerateDataKeyPair (ECC_NIST_P384) request rate

適用先:

  • GenerateDataKeyPair

  • GenerateDataKeyPairWithoutPlaintext

100

GenerateDataKeyPair (ECC_NIST_P521) request rate

適用先:

  • GenerateDataKeyPair

  • GenerateDataKeyPairWithoutPlaintext

100

GenerateDataKeyPair (ECC_SECG_P256K1) request rate

適用先:

  • GenerateDataKeyPair

  • GenerateDataKeyPairWithoutPlaintext

100

GenerateDataKeyPair (RSA_2048) request rate

適用先:

  • GenerateDataKeyPair

  • GenerateDataKeyPairWithoutPlaintext

1

GenerateDataKeyPair (RSA_3072) request rate

適用先:

  • GenerateDataKeyPair

  • GenerateDataKeyPairWithoutPlaintext

0.5 (2 秒に 1 回)

GenerateDataKeyPair (RSA_4096) request rate

適用先:

  • GenerateDataKeyPair

  • GenerateDataKeyPairWithoutPlaintext

0.1 (10 秒に 1 回)

GenerateDataKeyPair (SM2 — China Regions only) request rate

適用先:

  • GenerateDataKeyPair

  • GenerateDataKeyPairWithoutPlaintext

25

GetKeyPolicy request rate

1,000

GetKeyRotationStatus request rate

1,000

GetParametersForImport request rate

0.25 (4 秒に 1 回)

GetPublicKey request rate

2000

ImportKeyMaterial request rate

5

ListAliases request rate

500

ListGrants request rate

100

ListKeyPolicies request rate

100

ListKeys request rate

500

ListResourceTags request rate

2000

ListRetirableGrants request rate

100

PutKeyPolicy request rate

15
ReplicateKey request rate

ReplicateKey オペレーションは、プライマリキーのリージョンでは 1 つ ReplicateKey リクエスト、レプリカのリージョンでは 2 つの CreateKey リクエストとしてカウントされます。以下のうち 1 つの CreateKey リクエストは、キー作成前に潜在的な問題を検出するためのドライランです。

5

RetireGrant request rate

30

RevokeGrant request rate

30

ScheduleKeyDeletion request rate

15

TagResource request rate

10

UntagResource request rate

5

UpdateAlias request rate

5

UpdateCustomKeyStore request rate

5

UpdateKeyDescription request rate

5

UpdatePrimaryRegion request rate

UpdatePrimaryRegion オペレーションは、2 つの影響を受けるリージョンごとに、1 つのリクエストとしてカウントされる、2 つの UpdatePrimaryRegion リクエストです。

5

リクエストクォータの適用

リクエストクォータを確認するときは、次の点に注意してください。

  • リクエストクォータは、カスタマーマネージドキーAWS マネージドキー の両方に適用されます。AWS 所有のキー の使用は、アカウント内のリソースを保護するために使用される場合でも、AWS アカウント のリクエストクォータにはカウントされません。

  • リクエストクォータは、FIPS エンドポイントおよび非 FIPS エンドポイントに送信されるリクエストに適用されます。AWS KMS サービスエンドポイントのリストについては、「AWS 全般のリファレンス」の「AWS Key Management Service エンドポイントとクォータ」を参照してください。

  • スロットリングは、リージョン内のすべてのタイプの KMS キーに対するすべてのリクエストに基づいています。この合計には、ユーザーの代わりとなる AWS のサービスからのリクエストを含む、AWS アカウント のすべてのプリンシパルからのリクエストが含まれます。

  • 各要求クォータは個別に計算されます。例えば、 CreateKeyオペレーションのリクエストは、 CreateAliasオペレーションのリクエストクォータには影響しません。CreateAlias リクエストが調整されていても、CreateKey リクエストは正常に完了できます。

  • 暗号化オペレーションはクォータを共有しますが、共有クォータは他のオペレーションのクォータとは無関係に計算されます。例えば、Encrypt オペレーションと Decrypt オペレーションの呼び出しはリクエストクォータを共有しますが、そのクォータは などの管理オペレーションのクォータとは無関係ですEnableKey。例えば、欧州 (ロンドン) リージョンでは、対称 KMS キーに対して 10,000 オペレーションの暗号化オペレーションに加えて、スロットルなしで 1 秒あたり 5 回の EnableKey オペレーションを実行できます。

暗号化オペレーションの共有クォータ

AWS KMS 暗号化オペレーションは、リクエストクォータを共有します。KMS キーでサポートされている暗号化オペレーションの任意の組み合わせをリクエストできます。これにより、暗号化オペレーションの合計数がそのタイプの KMS キーのリクエストクォータを超過しません。例外は GenerateDataKeyPairと でGenerateDataKeyPairWithoutPlaintext、個別のクォータを共有します。

異なるタイプの KMS キーのクォータは、個別に計算されます。各クォータは、1 秒間隔の特定のキータイプを持つ AWS アカウント およびリージョンで、これらのオペレーションに対するすべてのリクエストに適用されます。

  • 暗号化オペレーション (対称) リクエストの頻度は、アカウントとリージョンで対称 KMS キーを使用する暗号化オペレーションの共有リクエストクォータです。このクォータは、対称暗号化キーと、同じく対称である HMAC キーでの暗号化オペレーションに適用されます。

    例えば、1 秒あたり 10,000 リクエストの共有クォータを持つ AWS リージョン で対称 KMS キーを使用しているとします。1 秒あたり 7,000 GenerateDataKeyリクエスト、1 秒あたり 2,000 リクエストの復号化を行うと、 AWS KMSはリクエストをスロットリングしません。ただし、毎秒 9,500 件の GenerateDataKey リクエストと 1,000 件の Encrypt リクエストを行うと、共有クォータを超えているため、AWS KMS はリクエストを制限します。

    カスタムキーストア内の対称暗号化 KMS キーに対する暗号化オペレーションは、アカウントの暗号化オペレーション (対称) リクエストレートおよびカスタムキーストアのカスタムキーストアのリクエストクォータの両方にカウントされます。

  • 暗号化オペレーション (RSA) リクエストの頻度は、RSA 非対称 KMS キーを使用する暗号化オペレーションの共有リクエストクォータです。

    例えば、1 秒あたり 500 オペレーションのリクエストクォータでは、暗号化および復号が可能な RSA KMS キーを使用して、200 件の Encrypt リクエストと 100 件の Decrypt リクエストを実行できます。加えて、署名と検証が可能な RSA KMS キーを使用して、50 件の Sign リクエストと 150 件の Verify リクエストを実行できます。

  • 暗号化オペレーション (ECC) リクエストの頻度は、楕円曲線 (ECC) 非対称 KMS キーを使用する暗号化オペレーションの共有リクエストクォータです。

    例えば、リクエストクォータが 1 秒あたり 300 オペレーションであれば、署名と検証が可能な RSA KMS キーを使用して、100 件の署名リクエストと 200 件の検証リクエストを実行できます。

  • 暗号化オペレーション (SM - 中国リージョンのみ) リクエストの頻度は、SM 非対称 KMS キーを使用する暗号化オペレーションの共有リクエストクォータです。

    例えば、1 秒あたり 300 オペレーションのリクエストクォータでは、暗号化および復号が可能な SM2 KMS キーを使用して、100 件の Encrypt リクエストと 100 件の Decrypt リクエストを実行できます。加えて、署名と検証が可能な SM2 KMS キーを使用して、50 件の Sign リクエストと 50 件の Verify リクエストを実行できます。

  • カスタムキーストアのリクエストクォータは、カスタムキーストアの KMS キーに対する暗号化オペレーションの共有リクエストクォータです。このクォータは、各カスタムキーストアで個別に計算されます。

    カスタムキーストア内の対称暗号化 KMS キーに対する暗号化オペレーションは、アカウントの暗号化オペレーション (対称) リクエストレートおよびカスタムキーストアのカスタムキーストアのリクエストクォータの両方にカウントされます。

異なるキータイプのクォータも個別に計算されます。例えば、アジアパシフィック (シンガポール) リージョンでは、対称および非対称の KMS キーの両方を使用する場合、対称 KMS キー (HMAC キーを含む) を使用した 1 秒あたり最大 10,000 件の呼び出しに加えて、RSA 非対称 KMS キーを使用した 1 秒あたり最大 500 件の追加呼び出しと、ECC ベースの KMS キーを使用した 1 秒あたり最大 300 件の追加リクエストを実行できます。

ユーザーに代わって API が実行するリクエスト

API が直接リクエストを行うこと、あるいは統合された AWS サービスを使用して、ユーザーに代わって API が AWS KMS にリクエストを行うようにできます。クォータはどちらの種類のリクエストにも適用されます。

たとえば、KMS キー (SSE-KMS) によるサーバー側の暗号化を使用して Amazon S3 にデータを保存できます。SSE-KMS で暗号化された S3 オブジェクトをアップロードまたはダウンロードするたびに、Amazon S3 はユーザーの代わりに、AWS KMS に GenerateDataKey (アップロード用) または Decrypt (ダウンロード用) リクエストを作成します。これらのリクエストはクォータに対してカウントされるため、AWS KMS は、SSE-KMS を使用して暗号化された S3 オブジェクトの 1 秒あたりのアップロード数またはダウンロード数の合計が 5,500 件 (または使用している AWS リージョンに応じて 10,000 件もしくは 50,000 件) を超える場合にリクエストをスロットルします。

クロスアカウントリクエスト

1 つの AWS アカウント のアプリケーションが、異なるアカウントの所有する KMS キーを使用することは、クロスアカウントリクエストと呼ばれます。クロスアカウントリクエストでは、AWS KMS は、KMS キーを所有するアカウントではなく、リクエストを行うアカウントを調整します。例えば、アカウント A のアプリケーションがアカウント B の KMS キーを使用する場合、KMS キーの使用はアカウント A のクォータにのみ適用されます。

カスタムキーストアのリクエストクォータ

AWS KMS は、カスタムキーストアの KMS キーに対する暗号化オペレーションのリクエストクォータを維持します。これらのリクエストクォータは、カスタムキーストアごとに個別に計算されます。

カスタムキーストアのリクエストクォータ 各カスタムキーストアのデフォルト値 (リクエスト数/秒) 調整可能
AWS CloudHSM キーストアのリクエストクォータ 1800 いいえ
外部キーストアのリクエストクォータ 1800 はい
注記

AWS KMS カスタムキーストアのリクエストクォータは、Service Quotas コンソールに表示されません。Service Quotas API オペレーションを使用して、これらのクォータを表示または管理することはできません。外部キーストアのリクエストクォータへの変更をリクエストするには、AWS Support センターにアクセスしてケースを作成します。

AWS CloudHSM キーストアに関連付けられた AWS CloudHSM クラスターが、カスタムキーストアに関連しないものを含む多数のコマンドを処理している場合、 が lower-than-expected 一定のレートAWS KMSThrottlingExceptionで発生する可能性があります。この問題が発生した場合は、AWS KMS へのリクエストレートを下げる、関連のないコマンドの処理を減らす、AWS CloudHSM キーストアで専用の AWS CloudHSM クラスターを使用するなどの対策を取ります。

AWS KMS は、 ExternalKeyStoreThrottle CloudWatch メトリクス内の外部キーストアリクエストのスロットリングを報告します。このメトリクスを使用して、スロットリングパターンを表示したり、アラームを作成したり、外部キーストアのリクエストクォータを調整したりできます。

カスタムキーストアの KMS キーに対する暗号化オペレーションのリクエストは、2 クォータにカウントされます。

  • 暗号化オペレーション (対称) のリクエストレートクォータ (アカウントあたり)

    カスタムキーストアの KMS キーに対する暗号化オペレーションのリクエストは、各 AWS アカウント およびリージョンの Cryptographic operations (symmetric) request rate クォータにカウントされます。例えば、米国東部 (バージニア北部) (us-east-1) の場合、各 AWS アカウント は、カスタムキーストアで KMS キーを使用するリクエストを含め、対称暗号化 KMS キーに対して 1 秒あたり最大 5 万リクエストを処理できます。

  • カスタムキーストアのリクエストクォータ (カスタムキーストアあたり)

    カスタムキーストアの KMS キーに対する暗号化オペレーションのリクエストも、1 秒あたり 1,800 オペレーションの Custom key store request quota にカウントされます。これらのクォータは、カスタムキーストアごとに個別に計算されます。カスタムキーストアで KMS キーを使用する、複数の AWS アカウント からのリクエストが含まれる場合があります。

例えば、米国東部 (バージニア北部) (us-east-1) リージョンのカスタムキーストア (いずれかのタイプ) の KMS キーに対する暗号化オペレーションは、アカウントとリージョンの Cryptographic operations (symmetric) request rate アカウントレベルのクォータ (1秒あたり5万リクエスト)、およびカスタムキーストアの Custom key store request quota (1秒あたり1,800 リクエスト) にカウントされます。ただし、カスタムキーストアの KMS キーに対する などの管理オペレーションのリクエストはPutKeyPolicy、アカウントレベルのクォータ (1 秒あたり 15 リクエスト) にのみ適用されます。