ラボ概要
KMS のカスタマー管理キー (CMK) を 1 本作り、それを使って S3 バケット・EBS ボリューム・EFS ファイルシステム をすべて保存時暗号化 (encryption at rest) で保護します。さらに S3 のパブリックアクセスブロックとバケットポリシー、セキュリティグループでアクセスを絞り込み、EC2 から実際に読み書きして暗号化が効いていることを確認します。AWS の主要ストレージ 3 種類を「暗号化」と「アクセス制御」という横串で一気通貫に学ぶラボです。
このラボは、SSM で接続できる EC2 ホスト（clouddo-storage-lab-host）が事前に起動した状態から始まります。学習者はこのホストに、自分で作る暗号化済み EBS / EFS をアタッチ・マウントします。ラボツールの「AWS マネジメントコンソールを開く」から入ると cloud_user で自動サインインします。
学習目標
- KMS のカスタマー管理キー (CMK) を作成し、暗号化に使う
- S3 バケットを SSE-KMS 既定暗号化 + パブリックアクセスブロック + バケットポリシー で保護する
- 暗号化 EBS ボリューム を作成し EC2 にアタッチしてマウントする
- 暗号化 EFS ファイルシステム を作成しセキュリティグループで保護して EC2 にマウントする
- 保存時暗号化とアクセス制御が実際に効いていることを確認する
ラボの構成
- 1事前準備の確認
- 2KMS カスタマー管理キーを作成
- 3S3 バケットを暗号化とアクセス制御で保護
- 4暗号化 EBS ボリュームを作成してアタッチ
- 5EBS をマウントして書き込み確認（SSM 接続）
- 6暗号化 EFS ファイルシステムを作成
- 7EFS をマウントして書き込み確認
- 8S3 の暗号化とアクセス制御を確認
- 9動作確認
- 10完了チェックリスト
- 11後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- AWS KMS ドキュメント — カスタマー管理キー (CMK) の作成とキーポリシー/キーユーザー設定
- Amazon S3 ドキュメント — SSE-KMS 既定暗号化・パブリックアクセスブロック・バケットポリシー
- Amazon EBS ドキュメント — 暗号化ボリュームの作成と EC2 へのアタッチ
- Amazon EFS ドキュメント — 保管時暗号化とマウントターゲット/セキュリティグループ
- AWS Systems Manager Session Manager — SSH 不要で EC2 にブラウザ接続
- IAM ドキュメント — EC2 インスタンスロールによる最小権限アクセス制御