AWS Backup で作成されたバックアップが、どの KMS キーで暗号化されるかまとめてみた

こんにちは、やまぐちです。

概要
結論
プライマリボールトに保存されるバックアップの暗号化キー
- 実際にやってみる
別ボールトへコピーされるバックアップの暗号化キー
論理的エアギャップボールトへコピーした場合
最後に

概要

今回は、AWS Backup で作成されたバックアップが、どの KMS キーで暗号化されるのかについて記載します。
単にボールトで指定した KMS キーで暗号化されるわけではなく、条件によって挙動が異なるため、ケースごとに確認する必要があります。

どの KMS キーで暗号化されるのかを把握できると、クロスリージョンやクロスアカウント間でのコピー時の考慮も可能となります。

結論

それぞれのケースでの説明をつらつらと記載しておりますので、先に結論をこの章で記載したいと思います。

プライマリボールトに保存されるバックアップは、以下のフローチャートに則って KMS キーが決定します。

一方で、クロスリージョンやクロスアカウントでバックアップがコピーされる場合は、以下のフローチャートに則って KMS キーが決定します。

プライマリボールトに保存されるバックアップの暗号化キー

プライマリボールトのバックアップが、どの KMS キーによって暗号化されるかについて記載します。

当初、私はバックアップボールトで指定した KMS キーで暗号化されるものだと考えていました。

しかしながら、すべてのリソースのバックアップがバックアップボールトで指定した KMS キーで暗号化されるわけではありません。
「独立した暗号化」に対応しているリソースであればバックアップボールトで指定した KMS キーで暗号化される形になります。

対して、「独立した暗号化」に対応していないリソースの場合はリソースの暗号化で指定されている KMS キーでバックアップが暗号化されます。

「独立した暗号化」に対応しているリソースですが、以下ドキュメントにリストで記載されています。 docs.aws.amazon.com

残念ながら、EBS (EC2 インスタンスのボリューム), RDS, Aurora などの一般的によく利用されるサービスは、2026/02/02 時点では「独立した暗号化」に対応していない形となります。
そのため、これらのリソースは AWS Backup でバックアップを作成してもリソース側で指定した KMS キーで暗号化されます。

実際にやってみる

実際に、以下3パターンで AWS Backup でバックアップを取得してどの KMS キーで暗号化されるかを見ていきたいと思います。
※バックアップボールトの KMS キーは AWS 管理キー(aws/backup)を指定しています。

暗号化されていない EBS ボリューム
KMS キー(カスタマー管理キー)で暗号化された RDS
AWS 所有キーで暗号化された DynamoDB(「独立した暗号化」にサポートされている状態)

暗号化されていない EBS ボリューム

この場合は、フローチャートでいくと「バックアップも非暗号化」になる想定です。

バックアップボールトの画面から確認すると、想定通り「暗号化されていません」というステータスでした。
EBS スナップショットの画面から確認しても、暗号化はされていませんでした。

KMS キー(カスタマー管理キー)で暗号化された RDS

この場合も、RDS は「独立した暗号化」に対応していないため、元の暗号化設定を引継ぎカスタマー管理キーで暗号化される想定です。
バックアップボールトの画面から確認すると、暗号化キーが指定されていました。
ポイントは、バックアップボールトで指定されているaws/backupで暗号化されていない点です。
yamaguchi-rds-backupという KMS キーは、RDS の DB インスタンスで指定しているものです。
リソース側で指定している KMS キーで、バックアップが取得されることがわかります。

AWS 所有キーで暗号化された DynamoDB(「独立した暗号化」にサポートされている状態)

最後に、DynamoDB のバックアップについて見ていきます。
DynamoDB は高度な機能を有効化し、「独立した暗号化」に対応している状態のためバックアップボールトで指定した KMS キーで暗号化される想定です。

復旧ポイントを確認すると、バックアップボールトで指定したaws/backupで暗号化されていました。
DynamoDB 側は AWS 所有キーで暗号化されており、リソース元の KMS キーで暗号化されていた EBS や RDS とは挙動が違うことがわかります。

別ボールトへコピーされるバックアップの暗号化キー

次に、バックアップを他リージョンや他 AWS アカウントのバックアップボールトへコピーされた際の KMS キーについて記載していきます。

基本的な挙動としては、コピー先のバックアップボールトで指定されている KMS キーでバックアップは暗号化されます。

AWS Backup は、ターゲットボールトの KMS キーを使用してコピーを暗号化します。ドキュメントにも上記のように記載されています。 https://docs.aws.amazon.com/aws-backup/latest/devguide/encryption.html#copy-encryption

ただし、この仕様を暗記するだけではいけません。
この仕様に加えて、以下の2点についても考慮する必要があります。

「独立した暗号化」に対応していないサービスは、aws/backupで暗号化されない
AWS 管理キーはクロスアカウントで利用できない

「独立した暗号化」に対応していないリソースは、`aws/backup`で暗号化されない

コピー先ボールトの KMS キーをaws/backupで指定した状態で、「独立した暗号化」にサポートされていないリソースのバックアップをコピーする場合には注意が必要です。

同一アカウント内の別リージョンでのコピーを想定した場合、コピー先のバックアップはそのリソースのデフォルトキーで暗号化されます。
例えば、aws/ebsで暗号化された EBS ボリュームの場合ですと以下のような挙動となります。

プライマリボールトのバックアップは、aws/ebsで暗号化される
コピー先のバックアップも、aws/backupではなくaws/ebsで暗号化される
※「独立した暗号化」に対応していないリソースのため、aws/backupでは暗号化されない

仮にコピー先ボールトがカスタマー管理キーの場合は、バックアップもカスタマー管理キーで暗号化されます。
コピー先のバックアップボールトで指定されている KMS キーでバックアップは暗号化される仕様そのままという形です。

AWS 管理キーはクロスアカウントで利用できない

ここまでは、同一 AWS アカウント内の別リージョン間でのコピーを前提とした内容で記載してきましたが、クロスアカウントの場合はさらなる考慮が必要です。

aws/ebsやaws/rdsなど、各サービスごとに用意されている AWS 管理キーはキーポリシーの編集ができないため、他アカウントからこのキーを利用することはできません。
そのため、AWS 管理キーで暗号化されたリソースを別 AWS アカウントのボールトへコピーすることは不可ということになります。

この場合は、バックアップ取得元のリソースの KMS キーをカスタマー管理キーに変更するか、以下ブログにあるように中間ボールトを用意する方法を検討する必要があります。

aws.amazon.com