監査で「鍵を定期的に回せ」と言われても、回すと過去のデータが読めなくなるのではないかと不安で手が止まる。逆に「ローテーション済みだから、鍵が漏れても安全」と思い込んでしまう。使われていない鍵を整理したいが、消した後で復号できなくなる事故も怖い。この記事は、AWS KMS のカスタマー管理キーを「回す・止める・消す」ときに、何が変わり何が変わらないかを順番どおりに説明します。基本は KMS とは何か に任せ、ここでは運用だけを扱います。
この記事の結論
- 自動ローテーションは、鍵素材を KMS が生成した対称暗号化キーに使えます。既定は 365 日ごとで、キー ID もエイリアスも変わらず、アプリの変更は要りません。
- 過去の暗号文は、暗号化したときの鍵素材で KMS が自動的に復号します。ローテーションは、データの再暗号化もデータキーの入れ替えもしません。
- 非対称キー・HMAC キー・カスタムキーストアのキーは自動にできません。新しいキーを作って切り替える手動ローテーションになります。
- 削除は取り消せません。まず無効化して様子を見て、待機期間（7〜30 日）付きで削除予約し、その間に使われようとしたら CloudWatch アラームで気づきます。
- 削除予約中のキーは暗号操作に使えず、削除したキーで暗号化した対称暗号文は復元できません。
KMS キーを「回す」とは何か｜ローテーションで変わるものと変わらないもの
ローテーションで替わるのは、これから暗号化に使う鍵素材です。KMS キーは「キー ID・エイリアス・ARN」という入れ物と、その中の鍵素材（暗号の計算に使う実体）に分けて考えます。回すと入れ物は同じまま、中の鍵素材に新しい世代が足されます。
古い世代の鍵素材は捨てられません。KMS は暗号文を見て、暗号化したときの鍵素材を自動で選んで復号します。だから 1 年前に暗号化したデータも、そのまま読めます。また、ローテーションはデータの再暗号化をしません。データキー（データを暗号化する鍵。詳しくは KMS とは何か の章）も入れ替わりません。
WHAT CHANGES回すと何が変わるか
回して替わるのはこれから使う鍵素材だけ
変わるもの
新しい暗号化
- 鍵素材の新しい世代これからの暗号化に使われる
変わらないもの
そのまま使える
- キー ID・エイリアスアプリの変更は要らない
- 既存データの復号元の鍵素材で自動復号
- データキー入れ替わらない
ここから、よくある誤解が二つ出ます。
- 「回すとデータが読めなくなる」: 読めなくなりません。上のとおり、古い世代の鍵素材が残るためです。
- 「回してあるから、漏えいしても安全」: 安全にはなりません。古い世代の鍵素材でも復号できる状態は変わらないので、ローテーションは漏えいへの対処ではなく、同じ鍵素材を使い続ける期間を区切る衛生管理です。権限の見直しは、キーポリシーと IAM の側で行います。
CHECK 1ここまでの確認
キーを自動ローテーションした後、1 年前に暗号化したデータはどうなるか?
答えと解説
答え: 2. そのまま復号できる
KMS は暗号文から、暗号化したときの鍵素材を自動で選んで復号します。再暗号化は要りません。第1章「KMS キーを回すとは何か」を読み直してください。
自動・オンデマンド・手動の違いは何か｜キーの種類で選べる方式が決まる
回し方は三つあります。どれを選べるかは、キーの種類で決まります。
| 方式 | 何をするか | 使えるキー |
|---|---|---|
| 自動ローテーション | 設定した期間ごとに、KMS が鍵素材を替える（既定は 365 日） | 対称暗号化キー（鍵素材を KMS が生成したもの） |
| オンデマンド | 次の周期を待たず、必要なときに今すぐ替える | 自動ローテーションと同じ対象のキー |
| 手動 | 新しいキーを作り、利用側を新しいキーへ切り替える | 非対称キー、HMAC キー、カスタムキーストアのキーなど |
自動の対象外のキーは、新しいキーを作って切り替えます。このとき、キー ID が変わります。エイリアスを使っていれば、エイリアスの向き先を新しいキーに付け替えるだけで、利用側の変更を小さくできます。ただしエイリアスの付け替えは「これから暗号化する分」に効くだけで、古いキーで暗号化した分を復号するには古いキーが必要です。古いキーは、その暗号文が不要になるまで消せません。ここが手動ローテーションで事故が起きやすい点です。
なお、AWS マネージドキーは AWS が毎年自動で回します。利用者が有効・無効を切り替えることはできません。インポートした鍵素材や外部のキーストアのキーには制約があります。使う場合は公式の説明を先に確認してください。
WHICH ROTATION回し方の選び分け
自動にできるのは対称暗号化キーだけ
回し方
対称暗号化キー × 自動
周期ごとに KMS が替える
対称暗号化キー × オンデマンド
必要なときに今すぐ替える
非対称・HMAC × 手動
新しいキーを作って切り替える
カスタムキーストア × 手動
新しいキーを作って切り替える
キーの種類
CHECK 4ここまでの確認
非対称キーを定期的に替えたいとき、どうするか?
答えと解説
答え: 2. 新しいキーを作って、利用側を切り替える
非対称キーは自動ローテーションの対象外なので、新しいキーを作って切り替える手動の方式になります。第2章「自動・オンデマンド・手動の違い」を読み直してください。
ローテーションを運用に落とす｜有効化・期間の決め方・実施の確認
運用に落とすときは、次の順で決めます。
- 対象を棚卸しする: 自動にできるキーと、手動になるキーを分けます。手動になるキーは、切り替えの手順と担当を決めておきます。
- 自動ローテーションを有効にする: 有効にすると、周期ごとに KMS が回します。周期は監査要件に合わせて決めます。要件が無いなら既定の 365 日で足ります。短くすれば鍵素材の世代が増えますが、アプリの変更は要りません。
- 実施を確認する: 回ったことは、CloudTrail の記録と Amazon EventBridge のイベントで確認できます。ローテーションの実行（RotateKey）が両方に出るので、監査の証跡として使えます。
監査向けには「有効にしている」だけでなく「実際に回った」記録を残せるかが問われがちです。CloudTrail の記録を保管する期間は、監査の保管要件に合わせて決めてください。
費用については、料金ページで確認してください。この記事では数値を書きません。
キーを消すときの順番｜無効化 → 削除予約 → 待機期間 → 削除
KMS キーの削除は取り消せません。消したキーで暗号化した対称暗号文は復元できなくなります。そこで、戻れる操作から順に踏みます。
SAFE DELETION削除の5つの駅
消す前に戻れる操作から順に踏む
-
使用状況の確認
CloudTrail で誰が使うか
-
無効化
有効に戻せる
-
削除予約
待機期間 7〜30 日
-
待機期間の監視
アラームで使用を検知
-
削除
戻せない
- 使用状況を確認する: キーを使っているサービスやアプリを洗い出します。CloudTrail の記録から、いつ誰が使ったかを見ます。
- 無効化する: 無効化したキーは暗号操作に使えなくなりますが、有効に戻せます。使っているものがあれば失敗として表に出ます。戻せるので、判断が付かないうちはここで止めて構いません。
- 削除を予約する: 待機期間（7〜30 日。既定は 30 日）を付けて予約します。予約するとキーは Pending deletion の状態になります。
- 待機期間を見張る: 期間中に使われようとしないかを監視します（次の章）。
- 削除される: 待機期間が過ぎるとキーは削除され、戻せません。
無効化のままにしておく選択もあります。キー数や管理の負担を減らしたいときに、影響がないと確かめたうえで削除を検討する、という順序です。
CHECK 2ここまでの確認
使っているか自信がないキーを片づけたいとき、最初の一手は?
答えと解説
答え: 2. 無効化して影響を見る
削除は取り消せず、無効化は有効に戻せます。判断が付かないうちは無効化から始めます。第4章「キーを消すときの順番」を読み直してください。
削除予約中に何を見張るか｜使われたら鳴るアラームと、取り消しの判断
削除予約中のキーは暗号操作に使えません。つまり、そのキーで暗号化・復号しようとする処理は失敗します。この失敗は「まだ使っている人がいる」という合図です。待機期間は、その合図を受け取るための猶予です。
公式は、削除予約中のキーが使われようとしたときに通知する CloudWatch アラームの作成を案内しています。CloudTrail に記録される失敗を条件に、アラームを鳴らす形です。細かい作り方は公式ドキュメントに従ってください。
アラームが鳴ったときの判断は次のとおりです。
- 使っている先が見つかった: 待機期間内なら、削除予約を取り消せます。取り消すとキーは無効の状態に戻るので、必要なら有効にします。
- 鳴らないまま期間が終わる: キーは削除されます。ここから先は戻せません。
待機期間内でないと取り消せない点が大事です。月次のバッチや年次の処理でしか使わない鍵は、短い待機期間では使われないまま過ぎてしまうことがあります。そういう心当たりがあるなら、待機期間を長めにとるか、削除ではなく無効化にとどめます。
CHECK 3ここまでの確認
削除予約（Pending deletion）の状態のキーで暗号化を試みると、どうなるか?
答えと解説
答え: 2. 失敗する
Pending deletion のキーは暗号操作に使えません。使われようとして失敗することが、削除してよいかの判断材料になります。第5章「削除予約中に何を見張るか」を読み直してください。
回さない・消さない判断の軸｜監査要件・費用・クォータと、データを失うリスクの比べ方
回すか、消すかは、次の軸で比べます。
| 軸 | 回す | 消す |
|---|---|---|
| きっかけ | 監査要件、鍵素材を使い続ける期間の区切り | 不要になった鍵の整理、キー数や管理の負担の削減 |
| データへの影響 | 古いデータも読める | 対称暗号文は復元できなくなる |
| 戻せるか | 世代は増えるだけで、読めなくなる事故は起きにくい | 待機期間を過ぎると戻せない |
| 確認の仕方 | CloudTrail・EventBridge の RotateKey | 使用状況、無効化後の失敗、アラーム |
料金やキー数の上限は、公式の料金ページとクォータのページで確認してください。この記事に数値は書きません。
整理すると、回すのは低リスクで、消すのは高リスクです。回すことをためらうより、消すことをためらってください。キーの削除は、使っていないと確かめられたものだけにします。確かめられないものは無効化にとどめるのが、データを失わない運用の型です。
Cloudory 執筆者（AWS 認定 全冠）
回す側は恐れすぎず、消す側は急がない。この非対称さを、運用手順の最初に書いておくと、引き継いだ人も同じ判断ができます。この記事は公式ドキュメントの内容を整理したもので、特定の現場での経験談ではありません。
まとめ
- ローテーションで替わるのは、これから暗号化に使う鍵素材だけ。古いデータはそのまま復号でき、再暗号化は要りません。
- 対称暗号化キーは自動、それ以外は新しいキーを作って切り替える手動。手動では古いキーを残します。
- 削除は「無効化 → 削除予約 → 待機期間の監視 → 削除」の順。戻せる操作から踏みます。
- 判断が付かないキーは、削除せず無効化にとどめます。
キーの基本に戻りたいときは、KMS とは何か へどうぞ。
参照ソース
- AWS KMS Developer Guide: Rotate AWS KMS keys — 自動ローテーションの既定（365 日）と対象のキー種別、過去の暗号文を元の鍵素材で復号すること、データを再暗号化しないこと、AWS マネージドキーの毎年の自動ローテーション、RotateKey の CloudTrail・EventBridge への記録、手動ローテーションの対象を確認した（2026-11 時点）。
- AWS KMS Developer Guide: Deleting AWS KMS keys — 待機期間（7〜30 日、既定 30 日）、Pending deletion 中は暗号操作ができないこと、取り消せるのは待機期間内であること、無効化の代替、CloudWatch アラームの案内、削除後は復元できないことを確認した（2026-11 時点）。
