SAA / ドメイン1 セキュアなアーキテクチャの設計
AWS CloudHSM
は、AWS クラウド内の専有ハードウェアセキュリティモジュール（）で暗号鍵と暗号処理を管理するサービスです。
SAA では、 よりも利用者側の制御と責任が大きく、専有HSM、特定の暗号アルゴリズム、既存PKIとの互換性が必要な場合に選びます。
概要
クラスターへ複数 の を配置し、アプリケーションから PKCS #11、JCE、CNG などの標準インターフェイスで利用します。AWS はハードウェアを管理しますが、HSM のユーザー、鍵、クラスター構成は利用者が管理します。
主要技術
①専有HSMと鍵の制御
は単一テナントで、鍵素材や暗号処理を HSM 内に保持します。利用者は鍵の生成、インポート、エクスポート、アルゴリズムを細かく制御できます。
②クラスターと高可用性
複数 に を配置してクラスターを構成します。1台だけでは AZ 障害に耐えられないため、可用性要件に応じて複数 HSM を使用します。
③KMSとの違い ⚠️ 頻出
| 要件 | ||
|---|---|---|
| 運用負荷を最小化 | 適しています | 利用者の管理範囲が広いです。 |
| AWSサービスとの標準統合 | 豊富です | 主にアプリケーションから利用します。 |
| 専有と細かな暗号制御 | 限定的です | 適しています。 |
| 既存PKIや標準互換 | 用途によります | PKCS #11等を利用できます。 |
④セキュリティ責任
は やクラスター操作を制御しますが、 内部の暗号ユーザー管理は別です。制御が増える代わりに、バックアップ、認証情報、可用性設計の責任も増えます。
試験対策
「マネージドな鍵管理」「やの暗号化」はまず を検討します。「専有」「既存PKI」「特定アルゴリズム」「鍵を全面的に制御」がある場合は です。