AWS KMS のカスタムマネージドキーのベストプラクティス

AWS KMS のカスタムマネージドキーを使用してEBSとRDSを暗号化する場合のベストプラクティスについて、以下のように考えられます：

1. サービス別のキー分割： EBS用とRDS用に別々のカスタムマネージドキーを作成することが推奨されます。これにより、各サービスに対して個別のアクセス制御と監査が可能になります。

2. 用途別のキー分割： さらに、データの重要度や用途に応じてキーを分割することも考えられます。例えば、本番環境と開発環境で別々のキーを使用するなどです。

3. 最小権限の原則： 各キーに対して、必要最小限の権限を持つIAMポリシーを設定します。これにより、不要なアクセスを制限し、セキュリティを強化できます。

4. キーローテーション： 定期的なキーローテーションを有効にし、暗号化キーの安全性を維持します。

5. 監査とモニタリング： AWS CloudTrailを使用して、各キーの使用状況を監視し、不正なアクセスや異常な動作を検出します。

6. リージョン間のレプリケーション： 必要に応じて、マルチリージョンキーを使用してバックアップや災害復旧の準備をします。

これらの方針に基づいて、例えば以下のようなキー構成が考えられます：

• EBS用本番環境キー
• EBS用開発環境キー
• RDS用本番環境キー
• RDS用開発環境キー

この構成により、きめ細かなアクセス制御と監査が可能になり、セキュリティとコンプライアンスの要件を満たすことができます。ただし、具体的な分割方法は組織のセキュリティポリシーや運用要件に応じて調整する必要があります。
Sources
Creating a key policy - AWS Key Management Service
Features | AWS Key Management Service (KMS) | Amazon Web Services (AWS)
Resilience in AWS Key Management Service - AWS Key Management Service
Community | KMS (Key Mangement Service)