Key Management Service:アプリケーションアクセスポイントの管理

AAP 詳細の表示

1. KMS コンソールにログインします。上部ナビゲーションバーでリージョンを選択し、左側ナビゲーションウィンドウで Application Access > AAPs を選択します。

2. Application Access タブで、Instance ID または AAP 名を使用して AAP を検索します。

3. AAP 名をクリックして詳細ページを開きます。詳細ページには次の 2 つのタブがあります。

   • Policies：この AAP に関連付けられた権限ポリシーを表示します。詳細については、「AAP 概要」をご参照ください。

   • Client Key：各クライアントキーの Key ID、Algorithm、Validity Period、および Creation Date を表示します。クライアントキーの内容は作成後に確認できません。

AAP の権限ポリシーの変更

1. Application Access タブで対象の AAP を見つけ、その名前をクリックします。

2. Policies タブで、Configure Permission Policy をクリックします。

3. Update AAP パネルで、Policies の値を別のものに変更します。AAP には最大 3 つの権限ポリシーを設定できます。

既存の権限ポリシーが要件を満たさない場合は、まず新しいポリシーを作成してください。詳細については、「権限ポリシーの作成」をご参照ください。

AAP の削除

削除前に、クライアントキーがアクティブに使用されていないことを確認してください。

1. KMS の Simple Log Service ページに移動します。ログは過去 180 日分利用可能です。

2. kms_audit_log 下の検索ボックスにクライアントキー ID を入力して全文検索を実行します。

3. 検索結果の access_key_id フィールドがクライアントキー ID と一致する場合、そのキーはまだ使用中です。

詳細については、「KMS の Simple Log Service の使用」をご参照ください。

AAP を削除するには、次の手順を実行します。

1. Application Access タブで対象の AAP を見つけ、Actions 列の Delete をクリックします。

2. セキュリティ認証を完了します。KMS が AAP を削除します。

権限ポリシーの作成

1. KMS コンソールにログインします。上部ナビゲーションバーでリージョンを選択し、左側ナビゲーションウィンドウで Application Access > AAPs を選択します。

2. Policies タブをクリックし、次に Create Policy をクリックします。

3. Create Permission Policy パネルで、以下のパラメーターを設定し、OK をクリックします。

権限ポリシーを作成したら、AAP に関連付けます。詳細については、「AAP の権限ポリシーの変更」をご参照ください。

権限ポリシーの変更

ポリシー名による変更：

1. Policies タブで対象のポリシーを見つけ、Actions 列の Edit をクリックします。

2. Modify Permission Policy パネルで、RBAC permissions、Accessible resources、または Network access rules を更新し、OK をクリックします。

関連付けられた AAP 経由での変更：

1. Application Access タブで AAP 名をクリックします。

2. Policies タブで変更対象のポリシーを見つけ、Actions 列の Edit をクリックします。

3. Modify Permission Policy パネルで必要なフィールドを更新し、OK をクリックします。

権限ポリシーの削除

1. Policies タブで対象のポリシーを見つけ、Actions 列の Delete をクリックします。

2. Confirm ダイアログで、OK をクリックします。

ネットワークタイプの選択

ネットワークアクセスルールは、次の 3 種類のネットワークタイプのいずれかを使用します。ご利用のアプリケーションが KMS に接続する方法に合わせて適切なタイプを選択してください。

使用する SDK：

• 暗号操作（暗号化、復号、署名、検証）：ネットワークタイプ Private で KMS Instance SDK を使用します。

• シークレット値の取得：KMS Instance SDK またはシークレット SDK を使用します。

  • 秒間クエリ数 (QPS) が高く、より強固なセキュリティが必要な場合は、ネットワークタイプ Private でシークレット SDK を使用します。

  • KMS Instance SDK を使用する場合は、ネットワークタイプを Private に設定し、許可されるソース IP をご利用の KMS インスタンスに関連付けられた VPC 内のアドレスに制限します。

  • シークレット SDK を使用する場合は、ネットワークタイプを Private、Public、または VPC に設定します。

ネットワークアクセスルールの作成

1. KMS コンソールにログインします。上部ナビゲーションバーでリージョンを選択し、左側ナビゲーションウィンドウで Application Access > AAPs を選択します。

2. Network Access Rules タブをクリックし、次に Create Network Access Rule をクリックします。

3. Create Network Access Rule パネルで、以下のパラメーターを設定し、OK をクリックします。

ルールを作成したら、権限ポリシーに関連付けます。詳細については、「権限ポリシーの作成」をご参照ください。

ネットワークアクセスルールの変更

1. Network Access Rules タブで対象のルールを見つけ、Actions 列の Edit をクリックします。

2. Modify Network Access Rule パネルで、Allowed source IP addresses を更新し、OK をクリックします。

ネットワークアクセスルールの削除

1. Network Access Rules タブで対象のルールを見つけ、Actions 列の Delete をクリックします。

2. Confirm ダイアログで、OK をクリックします。

クライアントキーの作成

1. KMS コンソールにログインします。上部ナビゲーションバーでリージョンを選択し、左側ナビゲーションウィンドウで Application Access > AAPs を選択します。

2. Application Access タブで、Instance ID または AAP 名を使用して AAP を検索します。

3. AAP 名をクリックします。詳細ページで Client Key タブをクリックし、次に Create Client Key をクリックします。

4. Create Client Key パネルで、以下のパラメーターを設定します。

   • Encryption password：8～64 文字で、数字、英字、および次の特殊文字（` ~ ! @ # $ % ^ & * ? _ - `）を含めることができます。

   • Validity period：デフォルトは 5 年です。クライアントキーが漏洩した場合のリスクを軽減するには、有効期間を 1 年に設定することを推奨します。

5. OK をクリックします。ブラウザが自動的に両方のファイルをダウンロードします。

2 つのファイルを安全に保管してください。アプリケーションでファイルをロードする方法については、KMS Instance SDK ドキュメントをご参照ください。

クライアントキーの削除

削除前に、監査ログを確認してキーが使用中でないことを確認してください。ログ検索のプロシージャについては、「AAP の削除」をご参照ください。

1. Application Access タブで対象の AAP を見つけ、その名前をクリックします。

2. Client Key タブで対象のクライアントキーを見つけ、Actions 列の Delete をクリックします。

3. Confirm ダイアログで、OK をクリックします。

4. セキュリティ認証を完了します。KMS がクライアントキーを削除します。