amazon-web-services - Heroku で Amazon KMS サービスを使用する

Question

Heroku で AWS KMS を使用しようとした人はいますか?

一方では、Heroku は AWS で実行されるため、おそらく動作するはずです。

一方、Heroku で使用されたという文献は見たことがありません。

私の主な目標は、ハードウェアのセキュア モジュールから暗号化キーを取得できるようにすることです (コードにハードコーディングするか、環境変数に入れるのではなく)。

Answer 1

インターネットに接続できる場所から KMS エンドポイントを呼び出せない理由はありません。

使用している AWS アカウントのアクセス キーとシークレット アクセス キーが引き続き必要であり、そのアカウントには KMS に対するアクセス許可が必要です。
暗号化されたものと aws キーを Heroku インスタンスに配布する必要があります。その後、そこから KMS を復号化して使用できます。

言及する価値のあることの 1 つは、KMS を使用している場合、KMS が使用する実際のキーが表示されないことです。キーを作成したり、暗号化および復号化したり、特定の API 操作に対するアクセス許可を取得したりできますが、プレーンテキスト キーを取得することはできません。

通常行うことは、独自のキーを生成して KMS 経由で暗号化し、暗号化されたキーと暗号化されたデータを宛先に送信する、ある種のエンベロープ暗号化です。