第5章 · データ保護·v2.0.0·更新 2026/6/5·読了目安 約11分
変更要約: SCS-C02 第5章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
5.1KMS と暗号化
この節の要点
保存時暗号化の核——KMS、CMK（カスタマー管理キー）、エンベロープ暗号化、キーポリシー、キーローテーション、CloudHSM——を理解します。鍵を安全に管理し、データを暗号化します。
データ保護の中心は KMS です。鍵の管理・アクセス制御・暗号化の仕組みを正確に理解します。
5.1.1KMS の仕組み
- エンベロープ暗号化：CMK でデータキーを暗号化し、データはデータキーで暗号化する。
- CMK の種類：AWS マネージド と カスタマー管理（CMK）。後者はポリシー/ローテーションを制御。
- アクセス制御：キーポリシー＋IAM の両方で許可される必要がある。
- CloudHSM：FIPS 140-2 Level 3/専有 HSM が必要な厳格な要件で使う。
試験ポイント
「鍵管理/保存時暗号化＝KMS」「データキーを CMK で暗号化＝エンベロープ暗号化」「KMS のアクセス制御＝キーポリシー＋IAM」「専有 HSM/FIPS Level 3＝CloudHSM」「自動ローテーション」 は SCS-C02 で頻出です。KMS はキーポリシーで明示的に許可しないと、IAM 管理者でも鍵を使えない点に注意。