AIF / ドメイン5 AIソリューションのセキュリティ、コンプライアンス、ガバナンス
暗号化とAWS KMS
AIのワークロードでも、データの保護には暗号化が使われます。 AIF-C01では、保管時と転送時の区別、そして鍵の管理を担当するサービスが問われます。
概要
暗号化には2つの場面があります。
| 場面 | 内容 | 担当する仕組み |
|---|---|---|
| 保管時 (at rest) | 保存されたデータを暗号化します。 | のキー |
| 転送時 (in transit) | ネットワーク上のデータを暗号化します。 | 、証明書は |
主要技術
①AWS KMSの役割 ⚠️ 頻出
はの作成、管理、利用制御、監査を担当します。 、、、の保管先などが統合されており、キーを指定するだけで暗号化できます。
| キーの種類 | 特徴 |
|---|---|
| 利用者が作成し、ポリシーとローテーションを管理します。 | |
| AWS管理キー | AWSがサービスのために作成し管理します。 |
| AWS所有キー | AWSが保有し、利用者からは見えません。 |
⚠️ 頻出: 「キーの権限と利用履歴を自分で管理したい」という要件はカスタマー管理キーです。
②AIワークロードでの暗号化対象
| 対象 | 内容 |
|---|---|
| のデータを暗号化します。 | |
| モデルの成果物 | 学習結果のファイルを暗号化します。 |
| カスタムモデル | のカスタムモデルを暗号化できます。 |
| 知識ベースと | 取り込んだデータとベクトルを暗号化します。 |
| ノートブックのボリューム | 開発環境のディスクを暗号化します。 |
| ログ | 保存したログを暗号化します。 |
③関連するサービスの役割分担 ⚠️ 頻出
| 目的 | 選ぶサービス |
|---|---|
| の管理 | |
| に使う証明書の管理 | (ACM) |
| パスワードやキーの管理 | |
| 専用ハードウェアでの鍵管理 | |
| の機密データの検出 |
⚠️ 頻出: 鍵はKMS、証明書はACM、パスワードはSecrets Managerという対応で判断します。
Point
- at rest = 保管時、in transit = 転送時 です。
- rest は「静止」、transit は「通過、輸送」 の意味です。
- 「置いてあるデータはKMS、動いているデータはTLS」と覚えます。
- 和訳
- transit: 通過、輸送
- Weblio英和辞書「transit」
④キーの運用
| 項目 | 内容 |
|---|---|
| キーポリシー | 誰がキーを使えるかを定めます。 |
| ローテーション | キーの中身を定期的に入れ替えます。 |
| 利用の記録 | で暗号化と復号の呼び出しを記録します。 |
| 分離 | 用途や環境ごとにキーを分けます。 |
試験対策
①判断マトリクス
| 問題文のキーワード | 選ぶもの |
|---|---|
| を保管時に暗号化したい | のキーでを暗号化 |
| 鍵の権限と履歴を自分で管理したい | |
| 通信を暗号化したい | と の証明書 |
| データベースの認証情報を管理したい | |
| 専用ハードウェアで鍵を管理したい | |
| 鍵の利用履歴を監査したい |
②よくある誤答
- 「暗号化」という語だけでを選ぶこと。はとです。
- 「キー」という語だけでKMSを選ぶこと。キーはの対象です。
- 暗号化すればアクセス制御が不要になると考えること。の設計は別に必要です。