「翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。」
クォータのリクエスト
AWS KMS は、1 秒あたりに要求される API オペレーションの数にクォータを設定します。各 API オペレーションの 1 秒あたりの クォータのリクエスト を示す表については、「各 AWS KMS API オペレーションの クォータのリクエスト」を参照してください。
API の クォータのリクエスト を超えると、リクエストが AWS KMS調整されます。つまり、有効なリクエストを拒否し、次のような ThrottlingException エラーを返します。応答するには、 バックオフと再試行戦略を使用します。
You have exceeded the rate at which you may call KMS. Reduce the frequency of your calls. (Service: AWSKMS; Status Code: 400; Error Code: ThrottlingException; Request ID:<ID>
クォータのリクエスト は、API オペレーション、AWS リージョン、および CMK タイプなどのその他の要因によって異なります。
クォータを超える必要がある場合は、サービスクォータ でクォータの増加をリクエストします。サービスクォータ コンソール
AWS KMS クォータの引き上げをリクエストする方法については、「AWS KMS クォータの引き上げをリクエストする」を参照してください。
クォータのリクエストオペレーションの を超えている場合は、GenerateDataKey のデータキーキャッシュ機能の使用を検討してください。AWS 暗号化 SDKデータキーを再利用することで、AWS KMS へのリクエストの頻度が低下することがあります。
クォータのリクエスト に加えて、AWS KMS では、リソースクォータを使用して、すべてのユーザーの容量を確保します。詳細については、「リソースクォータ」を参照してください。
トピック
クォータのリクエスト を適用する
クォータのリクエスト を確認する際には、次の点に注意してください。
-
クォータのリクエスト は、カスタマー管理 CMKs と AWS 管理 CMKs の両方に適用されます。AWS 所有の CMKs の使用は、アカウント内のリソースを保護するために使用されている場合でも、AWS アカウントの クォータのリクエスト にはカウントされません。
-
スロットリングは、リージョン内のすべてのタイプの CMKs に対するすべてのリクエストに基づいています。この合計には、ユーザーに代わる AWS のサービスからのリクエストを含む、AWS アカウント内のすべてのプリンシパルからのリクエストが含まれます。
-
それぞれ クォータのリクエスト が個別に計算されます。たとえば、CreateKey オペレーションに対するリクエストは、クォータのリクエストCreateAlias オペレーションに対する には影響しません。
CreateAliasリクエストが調整されていても、CreateKeyリクエストは正常に完了できます。 -
暗号化オペレーションはクォータを共有しますが、共有クォータは他のオペレーションのクォータとは無関係に計算されます。たとえば、Encrypt および Decrypt オペレーションの呼び出しは クォータのリクエスト を共有しますが、そのクォータは EnableKey などの管理オペレーションのクォータとは無関係です。 たとえば、欧州 (ロンドン) リージョン では、対称 CMKs と 1 秒あたり 5 回の
EnableKeyオペレーションをスロットリングせずに 10,000 件の暗号化オペレーションを実行できます。
暗号化オペレーションの共有クォータ
AWS KMS 暗号化オペレーションは クォータのリクエスト を共有します。CMK でサポートされている暗号化オペレーションの任意の組み合わせをリクエストできます。これにより、暗号化オペレーションの総数がその種類の CMK に対する クォータのリクエスト を超えないようにできます。例外は GenerateDataKeyPair と GenerateDataKeyPairWithoutPlaintext で、別個のクォータを共有します。
異なるタイプの CMKs のクォータは、個別に計算されます。各クォータは、1 秒ごとに指定されたキータイプを持つ AWS アカウントおよびリージョンにおけるこれらのオペレーションに対するすべてのリクエストに適用されます。
-
暗号化オペレーション (対称) リクエストの頻度は、アカウントとリージョンで対称 CMKs を使用する暗号化オペレーションの共有リクエストクォータです。
たとえば、1 秒あたり 10,000 リクエストの共有クォータを持つ リージョンでCMKs対称を使用しているとします。AWS1 秒あたり 7,000 件の GenerateDataKey リクエストと 1 秒あたり 2,000 件の Decrypt リクエストを行う場合、AWS KMS はリクエストを制限しません。ただし、毎秒 9,500 件の
GenerateDataKeyリクエストと 1,000 件の Encrypt およびリクエストを行うと、共有クォータを超えているため、AWS KMS はリクエストを制限します。 -
暗号化オペレーション (RSA) リクエストの頻度は、RSA 非対称 CMKs を使用する暗号化オペレーションの共有リクエストクォータです。
たとえば、リクエストクォータが 1 秒あたり 500 オペレーションであれば、暗号化と復号が可能な RSA で 200 件の暗号化リクエストと 100 件の復号CMKsリクエスト、さらに署名と検証が可能な RSA で 50 件の署名リクエストと 150 件の検証CMKsリクエストを行うことができます。
-
暗号化オペレーション (ECC) リクエストの頻度は、楕円曲線 (ECC) 非対称 CMKs を使用する暗号化オペレーションの共有リクエストクォータです。
たとえば、リクエストクォータが 1 秒あたり 300 オペレーションであれば、署名と検証が可能な RSA CMKs を使用して、100 件の署名リクエストと 200 件の検証リクエストを行うことができます。
異なるキータイプのクォータも個別に計算されます。たとえば、アジアパシフィック (シンガポール) リージョン で、対称と非対称 CMKs の両方を使用する場合、対称 CMKs で 1 秒あたり最大 10,000 件の呼び出しと RSA 非対称 CMKs で 1 秒あたり最大 500 件の追加呼び出し、さらに ECC ベースの CMKs を使用して 1 秒あたり最大 300 件の追加リクエストを行うことができます。
ユーザーに代わって API が実行するリクエスト
API が直接リクエストを行うこと、あるいは統合された AWS サービスを使用して、ユーザーに代わって API が AWS KMS にリクエストを行うようにできます。クォータはどちらの種類のリクエストにも適用されます。
たとえば、AWS KMS (SSE-KMS) でサーバー側の暗号化を使用して、Amazon S3 にデータを保存するとします。SSE-KMS で暗号化された S3
オブジェクトをアップロードまたはダウンロードするたびに、Amazon S3 はユーザーに代わって GenerateDataKey (アップロードの場合) または Decrypt (ダウンロードの場合) リクエストを AWS KMS に対して行います。これらのリクエストはクォータに対してカウントされるため、SSE-KMS を使って暗号化された
S3 オブジェクトの 1 秒あたりのアップロード数またはダウンロード数の総数が合計 5,500 件（または AWS リージョンにより 10,000 件または 30,000
件）を超えた場合、AWS KMS はリクエストを調整します。
クロスアカウントリクエスト
1 つの AWS アカウントのアプリケーションが異なるアカウントが所持する CMK を使用する場合、これはクロスアカウントリクエストと呼ばれます。クロスアカウントリクエストでは、AWS KMS は、CMK を所有するアカウントではなく、リクエストを行うアカウントを調整します。たとえば、アカウント A のアプリケーションがアカウント B の CMK を使用する場合、CMK の使用はアカウント A のクォータにのみ適用されます。
カスタムキーストアのクォータ
AWS KMS カスタムキーストアは、対称 CMKs のみをサポートしています。カスタムキーストアCMKsの を使用する暗号化オペレーションでは、カスタムキーストアごとに 1 秒あたり 1,800 オペレーションの を共有します。クォータのリクエストただし、このクォータが持つ意味は、オペレーションによって異なります。GenerateDataKey、GenerateDataKeyWithoutPlaintext や、GenerateRandom といったオペレーションは、Encrypt、Decrypt や ReEncrypt オペレーションの 1 秒あたりおよそ 3 倍のクォータを消費します。
たとえば、Encrypt や Decrypt のオペレーションのみをリクエストしていれば、1 秒あたり約 1,800 オペレーションを実行できます。一方、GenerateDataKey オペレーションを繰り返しリクエストした場合、パフォーマンスは 1 秒あたり約 600 オペレーションになります。GenerateDataKey と Decrypt のオペレーションをおよそ半々の割合で実行した場合、1 秒あたり約 1,200 オペレーションを実行できます。
他の AWS KMS クォータとは異なり、カスタムキーストアのクォータは調整できません。サービスクォータ を使用したり、AWS サポート でケースを作成したりして、引き上げることはできません。
カスタムキーストアに関連付けられている AWS CloudHSM クラスターが、カスタムキーストアに関連しないものを含む多数のコマンドを処理している場合、予想よりも低い速度で
AWS KMS ThrottlingException が発生する可能性があります。この問題が発生した場合は、AWS KMS へのリクエストの頻度を下げる、関連のないコマンドの処理を減らす、またはカスタムキーストアに専用の
AWS CloudHSM クラスターを使用するなどの対策を取ります。
各 AWS KMS API オペレーションの クォータのリクエスト
この表では、サービスクォータのクォータコードと、各 AWS KMS リクエストクォータのデフォルト値を示しています。
| クォータ名 | デフォルト値 (1 秒あたり) |
|---|---|
|
適用先..
|
これらの共有クォータは、AWS のリージョンおよびリクエストで使用される CMK タイプによって異なります。各クォータは個別に計算されます。
カスタムキーストアのクォータ (対称 CMKs):
|
|
適用先..
|
RSA CMKs の場合は 500 (共有) |
|
適用先..
|
楕円曲線 (ECC) CMKs の場合は 300 (共有) |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
50 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
1,000 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
適用先..
|
25 |
|
適用先..
|
10 |
|
適用先..
|
5 |
|
適用先..
|
25 |
|
適用先..
|
1 |
|
適用先..
|
0.5 (2 秒に 1 回) |
|
適用先..
|
0.1 (10 秒に 1 回) |
|
|
1,000 |
|
|
1,000 |
|
|
0.25 (4 秒に 1 回) |
|
|
5 |
|
|
5 |
|
|
500 |
|
|
100 |
|
|
100 |
|
|
500 |
|
|
100 |
|
|
100 |
|
|
5 |
|
|
15 |
|
|
15 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
|
|
5 |
