コンテンツにスキップ

AWS Configの構成#

KMSで暗号化キーを作成する ＜ログアカウントでの作業＞#

本ステップでは、ConfigがS3にPUTする際に暗号化で利用するKMSのカスタマーマスターキー(以下、CMK) を作成します。


カスタマーポリシーは、今回はConfigの書き込みに必要な最低限のポリシーを付与しています。


  1. マネジメントコンソールにて KMS を開きます。


  1. KMS 画面でS3バケットと同じ東京リージョンであることを確認し、キーの作成 をクリックします。異なるリージョンが選択されている場合、東京リージョンに切り替えます。


  1. 以下の設定を行ない、次へ をクリックします。
項目 ID
キーのタイプ 対称
キーマテリアルオリジン KMS


  1. 以下の設定を行ない、次へ をクリックします。
項目 設定値
エイリアス config-CMK
説明 config-CMK


  1. キーの管理アクセス許可を定義 では追加設定は行なわず、次へをクリックします。


  1. キーの使用アクセス許可を定義 では追加設定は行なわず、次へをクリックします。


  1. キーポリシー以下に記載しているポリシーをコピーペーストで貼り付け、完了をクリックします。ポリシーで設定している内容は以下の通りです 

{
    "Version": "2012-10-17",
    "Id": "Key policy created by Config",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::333333333333:root",
                    "arn:aws:sts::333333333333:assumed-role/OrganizationAccountAccessRole/admin"
                ]
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the KMS key for organization",
            "Effect": "Allow",
            "Principal": {
                "Service": "config.amazonaws.com"
            },
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey",
                "kms:Encrypt",
                "kms:ReEncrypt*",
                "kms:GetKeyPolicy"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "o-yyyyyyyy"
                }
            }
        }
    ]
}


ARN確認とキーローテーションの設定#

  1. 作成したCMKをクリックします。


  1. CMKのARNをコピーし、テキストエディタ等で控えておきます。


  1. キーローテーション タブをクリックし、このCMKを毎年自動的にローテーションします。にチェックを入れ、保存をクリックします。