旅行会社の新規事業開発部では、顧客の旅行写真を預かってフォトブックを作る新サービスを作っていました。写真は「思い出」なので、流出すれば信用に直結します。さらに、年末年始のキャンペーンで利用者が増える予定で、月末会議ではセキュリティ対策の甘さが指摘されました。
ケンイチ：
「課長、写真データのセキュリティ対策で困っています。
“暗号化しよう”とは言われたんですが、鍵の管理がよく分からなくて…」
課長：
「そこはAWS KMSを使うのが定番だ。
“暗号化の鍵を入れる金庫”をAWS側で用意してくれる」
ケンイチ：
「AWS KMS…すみません、KMSって何でしょうか？」
課長：
「Key Management Serviceの略で、暗号化鍵（かぎ）を安全に作って、保管して、使うためのサービスだ。
ポイントは“鍵そのものをアプリの中に置かない”ことだよ」
ケンイチ：
「鍵をアプリの中に置かない…？
暗号化って、データをカギで閉めるんですよね？」
課長：
「そう。暗号化は“鍵が安全”という前提で成り立つ。
分厚い扉（暗号）を作っても、合鍵（鍵）が盗まれたら意味がない。
だからKMSで“鍵の金庫”を作って、誰が使えるかを細かく制御する」
ケンイチ：
「じゃあ、写真データはKMSの中に保存されるんですか？」
課長：
「そこは誤解されやすい。KMSが守るのは“データ”じゃなく“鍵”だ。
写真データはS3などに置く。KMSは“鍵を安全に使う役”なんだ」
ケンイチ：
「なるほど…。でも、鍵をどうやって使うんでしょう？
毎回、写真全部をKMSで暗号化するんですか？」
課長：
「実務はもっと賢い。イメージはこうだ。
これで“鍵の安全”と“処理の速さ”を両立できる」
ケンイチ：
「つまり、KMSは“親鍵の金庫番”で、
実際に写真を閉める鍵は、その場で作って使う感じですか？」
課長：
「その理解でOK。
さらにKMSだと、誰が鍵を使ったかの記録（監査ログ）も残せる。
“万が一”のときに調べられるのは大きい」
ケンイチ：
「似た名前でSecrets Managerも聞きますが、同じですか？」
課長：
「そこも重要な使い分けだ。
KMSは“暗号鍵の金庫”。
Secrets Managerは“パスワードやAPIキーみたいな秘密情報をしまう金庫”。
たとえばDBのパスワードをアプリに埋め込まず、取り出して使うのはSecrets Manager寄りだな」
ケンイチ：
「なるほど…。鍵とパスワードは別物なんですね。
KMSを使う注意点はありますか？」
課長：
「注意点は2つ覚えよう。
1) 権限設計：誰が暗号化・復号できるかを決めないと意味がない
2) コスト：鍵の利用回数などで料金が発生するので、使い方で増減する
ただ、写真の保管をS3にして“標準のKMS連携”を使うなら、運用はかなり楽だ」
ケンイチ：
「よし…。まずはS3の写真バケットをKMSで暗号化して、
復号できる人（システムの役割）をきちんと決めます！」
| 用語 | 何を守る？ | 強み | 向いている用途 |
|---|---|---|---|
| AWS KMS | 暗号鍵 | 権限制御・監査ログ・AWS連携 | S3/EBS/RDSなどの暗号化 |
| AWS Secrets Manager | パスワード/APIキー等 | 自動ローテーション・取得管理 | アプリの接続情報の保護 |
| AWS CloudHSM | 暗号鍵（より厳格） | ユーザー寄りの鍵運用・厳格要件 | 監査・規制が強い鍵管理 |
AWS KMSを“企業名つきで明記”した公開事例は、セキュリティ領域のため詳細が出にくいことがあります（非公開のケースもあります）。その代わり、AWS公式が示している典型ユースケースを、実例の代替として具体化します。
例1：S3に保存する写真・ファイルの暗号化
旅行写真や申込書類など、漏えいすると困るファイルはS3に保管し、KMSと連携して暗号化します。運用は「誰が復号できるか（権限）」を決めるのが肝です。
例2：EBS/RDSなど基盤データの暗号化
サーバーのディスク（EBS）やデータベース（RDS）をKMSで暗号化し、バックアップやスナップショットまで含めて保護します。監査ログも残るため、説明責任を果たしやすくなります。
情報源：
AWS KMS（サービスページ）：https://aws.amazon.com/jp/kms/
AWS KMS Developer Guide：https://docs.aws.amazon.com/kms/latest/developerguide/overview.html
AWS KMSが主に守るのはどれ？
A：暗号鍵
B：写真データそのもの
C：Webサイトの見た目
「KMSはデータを保存する場所」と言われたら、正しい反応はどれ？
A：その通り。KMSに写真を置く
B：違う。KMSは鍵を管理し、データはS3などに置く
C：違う。KMSは動画編集サービス
Secrets Managerが守るものとして近いのはどれ？
A：パスワードやAPIキー
B：SNSの投稿
C：画像のサムネイル
1-A：（暗号鍵）（鍵の金庫番）
2-B：（違う。KMSは鍵を管理し、データはS3などに置く）（役割が違う）
3-A：（パスワードやAPIキー）（アプリの秘密情報）
解説：KMSは「鍵を守るサービス」で、S3やRDSなどと連携して暗号化を安全に運用できます。Secrets Managerは“接続情報やAPIキー”などの秘密情報管理に向いており、目的が少し違います。