ある金融機関のセキュリティポリシーでは、S3に保存する暗号化キーの管理について以下の要件が定められています。
・暗号化・復号の処理はAWS S3サービス側で実行すること（アプリケーション側での暗号化処理は不可）
・暗号化

Question

ある金融機関のセキュリティポリシーでは、S3に保存する暗号化キーの管理について以下の要件が定められています。
・暗号化・復号の処理はAWS S3サービス側で実行すること（アプリケーション側での暗号化処理は不可）
・暗号化キーはAWSサービス（KMSを含む）内に一切保存・保持させないこと
・キーマテリアルは自社のオンプレミスのキー管理システムで保管すること

これらの要件を最も直接的に満たすS3の暗号化オプションはどれですか？

Accepted Answer

正解: SSE-C（お客様指定の暗号化キー）：各リクエスト時にお客様がキーを提供し、S3は暗号化処理後にキーを即座に破棄して保存しない。SSE-Cでは、HTTPSリクエストヘッダーで暗号化キーを提供します。S3はそのキーで暗号化/復号処理を実行した後、キーを即座に削除しAWS側には保存しません。「S3側で暗号化処理を実行」かつ「AWSにキーを保存しない」両方の要件を満たす唯一のオプションです。

選択肢Aの（SSE-S3）は、AWSがキーを生成・保管するため「AWSにキーを保存しない」要件を満たしません。

選択肢Bの（SSE-KMS）は、外部キーストア連携を含めても、KMSがキー管理に関与し、AWS内にキーメタデータが保存されるため要件を完全には満たしません。

選択肢Dの（クライアントサイド暗号化）は、アプリケーション側で処理するため「S3サービス側で暗号化処理を実行」という要件を満たしません。

Answer

SSE-S3（Amazon S3 管理キー）：AWSがキーを生成・管理し、定期的に自動ローテーションする — （SSE-S3）は、AWSがキーを生成・保管するため「AWSにキーを保存しない」要件を満たしません。

Answer

SSE-KMS（AWS KMS カスタマー管理キー）：KMSで鍵を管理し、外部キーストア（XKS）でオンプレミスHSMと連携する — （SSE-KMS）は、外部キーストア連携を含めても、KMSがキー管理に関与し、AWS内にキーメタデータが保存されるため要件を完全には満たしません。

Answer

クライアントサイド暗号化：データをS3にアップロードする前にアプリケーション側で暗号化処理を完結させる — （クライアントサイド暗号化）は、アプリケーション側で処理するため「S3サービス側で暗号化処理を実行」という要件を満たしません。

解説

解説