AWS X-Ray でのデータ保護

AWS X-Ray は常に保管時のトレースと関連データを暗号化します。コンプライアンスの要件や内部的な要件に応じて暗号化キーを監査して無効にする必要がある場合は、X-Ray を設定してデータを暗号化するように AWS Key Management Service (AWS KMS) キーを使用することができます。

X-Ray は aws/xray という名前の AWS マネージドキー を指定します。AWS CloudTrail でキーの使用状況を監査するだけで、キー自体を管理する必要がない場合は、このキーを使用します。キーへのアクセスを管理したり、キーの更新を設定したりする必要がある場合は、カスタマー管理のキーを作成できます。

暗号化設定を変更すると、X-Ray でのデータキーの生成および伝達に少し時間がかかります。新しいキーの処理中に、X-Ray は新しい設定と古い設定を組み合わせてデータを暗号化することがあります。暗号化設定を変更するときに、既存のデータは再暗号化されません。

注記

X-Ray が KKMS キーを使用してトレースデータを暗号化または復号するときに、AWS KMS の料金が発生します。

• デフォルトの暗号化 – 無料。

• AWS マネージドキー – キーの使用について料金が発生します。

• カスタマー管理キー – キーの保存と使用について料金が発生します。

詳細については、「AWS Key Management Service の料金」を参照してください。

注記

X-Ray インサイト通知は現在カスタマー管理キーをサポートしていない Amazon EventBridge にイベントを送信します。詳細については、「Amazon EventBridge におけるデータ保護』を参照してください。

カスタマー管理キーを使用して暗号化されたトレースを表示するように X-Ray を設定するには、カスタマー管理キーに対するユーザーレベルのアクセス権が必要です。詳細については、「暗号化のユーザーアクセス許可」を参照してください。

CloudWatch console

CloudWatch コンソールを使用して暗号化に KMS キーを使用するように X-Ray を設定するには

1. AWS Management Console にサインインして、CloudWatch コンソール (https://console.aws.amazon.com/cloudwatch/) を開きます。

2. 左側のナビゲーションペインの [Settings] (設定) を選択します。

3. X-Ray トレースセクションの [暗号化] の下にある [設定を表示] を選択します。

4. [暗号化の設定] セクションで、[編集] を選択します。

5. [KMS キーを使用] を選択します。

6. ドロップダウンメニューからキーを選択します。

   • aws/xray – AWS マネージドキー を使用します。

   • キーエイリアス – アカウントでカスタマー管理キーを使用します。

   • キー ARN を手動で入力 – 別のアカウントのカスタマー管理キーを使用します。表示されるフィールドに、キーの完全な Amazon リソースネーム (ARN) を入力します。

7. [暗号化の更新] を選択します。

X-Ray console

X-Ray コンソールを使用して暗号化に KMS キーを使用するように X-Ray を設定するには

1. [X-Ray console (X-Ray コンソール)] を開きます。

2. [暗号化] を選択します。

3. [Use a KMS key (KMS キーを使用する)] を選択します。

4. ドロップダウンメニューからキーを選択します。

   • aws/xray – AWS マネージドキー を使用します。

   • キーエイリアス – アカウントでカスタマー管理キーを使用します。

   • キー ARN を手動で入力 – 別のアカウントのカスタマー管理キーを使用します。表示されるフィールドに、キーの完全な Amazon リソースネーム (ARN) を入力します。

5. [Apply] を選択します。

注記

X-Ray は非対称 KMS キー をサポートしていません。

X-Ray が暗号化キーにアクセスできない場合、データの保存を停止します。これは、ユーザーが KMS キーにアクセスできなくなった場合や、現在使用されているキーを無効にした場合に発生する可能性があります。この場合、X-Ray はナビゲーションバーに通知を表示します。

X-Ray API を使用して暗号化設定を指定する方法については、「AWS X-Ray API を使用したサンプリング、グループ、暗号化設定の構成」を参照してください。