AWS Key Managementを使って大切なデータを守ろう！

最終更新日：2026年8月12日

AWS Key Management Serviceとは？

項目	AWS	Microsoft Azure	Google Cloud
世界シェア	約33%（首位）	約22%	約11%
強み	サービス数・実績	Microsoft製品連携	データ分析・AI
無料枠	12ヶ月+常時無料	12ヶ月無料	常時無料枠あり
主な資格	CLF / SAA / SAP	AZ-900 / AZ-104	ACE / PCA

AWS Key Management Service（AWS KMS）はデータの暗号化/復号用に使うキーを簡単に作成し、AWS上で一元管理できるサービスです※1。2014年にリリースされました。大切なデータを保護するための暗号化技術を提供してくれるということで注目されています。フルマネージド型サービスなので、キーの耐久性管理や物理的なセキュリティ対応はAWS KMSが行ってくれます。自分達で耐久性管理やセキュリティ管理をしようとすると大変な負担になってしまうので、AWS KMS側で対応してくれるのは嬉しいですね。

また、AWS KMSは他のAWSサービスと統合されているので、連携できるAWSのサービスのデータを暗号化することが可能になります。
※1 AWSマネジメントコンソール、AWS CLIやSDKからの管理が可能

そもそもデータの暗号化/復号化とは？

データの暗号化/復号化について、簡単に解説します。

例:「Apple」という文字列を暗号化/復号化する場合

・データの暗号化:「Apple」という文字列を暗号化し「Hw3b9」とします。
・データの復号化:「Hw3b9」という文字列を復号化し「Apple」に戻します。

この暗号化/復号化の際に必要になるのが「キー」という存在です。たとえ暗号化されたデータが流出してしまったとしても、キーがなければ復号できないので、情報は守られます。逆に言えば、キーが流出してしまうと大事なデータを守れないリスクがかなり高まってしまうので、いかにしてキーの保守と管理を行うかが重要になります。

キーの種類は2つ

AWS KMSで使うキーはマスターキー（KMSキー）とデータキーの2種類があります。下記に2つの違いについて記述していきます。

1.マスターキー
データキーを暗号化/復号し、AWS内で永続的に保持されます。マスターキーは作成、更新、無効化、有効化ができますが、即時削除はできません。削除する場合は7〜30日の待機期間（スケジュール削除）を経て実行されます。マスターキーを削除してしまうと、データキーが復号できなくなるので、「データキーで暗号化したデータ」も復号できなくなってしまうからです。

2.データキー
データを暗号化/復号化し、AWS内では平文の状態で保持されません。データキーは作成、データキー自体の暗号化、データキーの復号ができます。AWS内で保持されないので、データの暗号化/復号化に使うデータキーを紛失してしまうとデータを復号できなくなってしまいます。使用者側でしっかり管理しておく必要があります。

たくさんのサービスと連携できる

AWS KMSはたくさんのAWSサービスと連携し、データの暗号化ができます。代表的なサービスとしては、オブジェクトストレージのAmazon S3、プログラミング実行環境を提供するAWS Lambda、MySQLやPostgreSQLといったデータベースを利用できるAmazon Relational Database Service (RDS)が挙げられます。連携可能なサービス数は継続的に拡大しており、最新の対応サービス一覧はAWS公式サイトでご確認ください。

鉄壁のセキュリティ

大切なデータに関わるサービスということで、セキュリティがどれほどのものなのか気になりますよね。AWS KMSでは、AWSの従業員も含め、誰もテキストデータとしてキーを取得できないように設計されています。FIPS 140-2という「暗号モジュールのためのセキュリティ要求を指すコード」に基づき※2、ハードウェアセキュリティモジュール (HSM) を使ってキーの安全性を強固なものにしています。なお、この仕組みはAWS KMSでキーの作成を行う時や、既に作成されたキーをインポートする時に適用されます。また、作成されたキーは作成されたAWSリージョン外部では使用できません。
※2 中国 (北京)および中国 (寧夏)リージョンは除きます。

補足ではありますが、AWS KMSのシステムにおける耐久性は99.999999999%を保つように設計されています。AWSの従業員ですら正確なキーが取得できず、かつ耐久性も高いとは、まさに鉄壁のセキュリティと言えるでしょう。

押さえておきたいポイント

• キーには「マスターキー」と「データキー」の役割分担があり、マスターキーは削除すると紐づくデータキー・データが復号不能になるため、ライフサイクル管理は慎重に行う。
• AWS KMSはS3・RDS・Lambdaをはじめ多数のAWSサービスとネイティブ連携できるため、既存システムへの暗号化の後付け導入も比較的容易。
• キー自体はFIPS準拠のHSMで強固に保護されるが、キーポリシーやIAM権限の設計を誤ると意図しないアクセスを許してしまうため、最小権限の原則での運用が重要。

よくある質問

AWS Key Management ServiceとAWS CloudHSMの違いは？

AWS KMSはフルマネージド型で、他のAWSサービスとの統合や運用の手軽さが特徴です。一方AWS CloudHSMは、専有のハードウェアセキュリティモジュールをユーザー自身が直接制御したい場合や、特定の規制要件でシングルテナントのHSMが必要な場合に利用されます。用途に応じて使い分けが必要です。

マスターキーを誤って無効化してしまった場合はどうなりますか？

無効化は削除ではないため、再度有効化すれば通常どおり利用を再開できます。ただし、削除操作（スケジュール削除、7〜30日の待機期間あり）を行った場合は、待機期間終了後にキーが完全に削除され、そのキーで暗号化していたデータキー・データが復号できなくなるため注意が必要です。

AWS KMSの利用料金はどのくらいですか？

キーの保管費用（月額）と、暗号化・復号などのAPIリクエスト回数に応じた従量課金を組み合わせた料金体系です。具体的な金額は変更される可能性があるため、最新料金はAWS公式サイトでご確認ください。

まとめ

いかがでしたでしょうか？今回はAWS Key Management Service（AWS KMS）について解説しました。今やデータ暗号化は大切なデータを守るために必須と言っても過言ではありません。暗号化についてよくわからず導入してこなかった、時間的にもコスト的にも余裕がなく、導入したくても足踏みをしていたという方もいるかと思います。そんな方にぜひともおすすめしたいサービスです。次々とペーパーレスになっている現代の中で、膨大なデータが常に危険に晒されていると夜も眠れないのではないでしょうか。この記事が少しでもお役に立てていれば幸いです。