Security & Encryption

ก่อนเข้าเรื่อง KMS ต้องเข้าใจสองโหมดของการเข้ารหัสก่อน คือ Encryption in flight (in transit) กับ Encryption at rest เพราะข้อสอบ DVA-C02 มักถามว่าจะป้องกันข้อมูลในสถานการณ์ไหนด้วยวิธีใด

AWS KMS (Key Management Service) คือบริการจัดการ encryption key แบบ centralized โดย AWS ดูแลความปลอดภัยและ availability ให้ จุดสำคัญคือ KMS keys (เดิมเรียก CMK) ไม่เคยถูก export ออกจาก KMS ทุกการเข้ารหัสต้องเรียก API ของ KMS และทุก request ถูก log ใน CloudTrail ทำให้ audit ได้

Symmetric vs Asymmetric keys

ประเภทการเป็นเจ้าของ Key

เพราะ KMS Encrypt API จำกัดที่ 4 KB การเข้ารหัสไฟล์ใหญ่ (เช่น 1 GB) ต้องใช้ Envelope Encryption คือใช้ KMS สร้าง Data Key แล้วเอา Data Key ไปเข้ารหัสข้อมูลจริงที่ฝั่ง client เอง ส่วน Data Key ที่ encrypted แล้วก็เก็บคู่ไปกับ ciphertext

GenerateDataKey flow (Encrypt ข้อมูลใหญ่)

• เรียก GenerateDataKey API → KMS คืนมา 2 อย่าง: Plaintext Data Key (DEK) และ Encrypted Data Key
• ใช้ Plaintext Data Key เข้ารหัสไฟล์ใหญ่ที่ฝั่ง client (เร็ว ไม่ติดลิมิต 4 KB)
• ทิ้ง Plaintext Data Key ออกจาก memory ทันทีหลังใช้เสร็จ
• เก็บ Encrypted Data Key ฝังไว้กับ ciphertext (envelope)
• ตอนถอดรหัส: เรียก Decrypt บน Encrypted Data Key เพื่อได้ Plaintext Data Key กลับมา แล้วใช้ถอดไฟล์

AWS Encryption SDK & Data Key Caching

AWS Encryption SDK เป็น library ที่ทำ envelope encryption ให้อัตโนมัติ (มีทั้ง Java, Python, C, JavaScript และ CLI) ฟีเจอร์เด่นคือ Data Key Caching ที่ reuse data key เดิมแทนการเรียก GenerateNewDataKey ทุกครั้ง — ช่วย ลดจำนวน KMS API calls (ลดค่าใช้จ่ายและเลี่ยง throttling) แลกกับ security ที่ลดลงเล็กน้อย ควบคุมด้วย LocalCryptoMaterialsCache (ตั้ง max age, max bytes, max messages)

# Envelope encryption ด้วย AWS CLI
# 1) สร้าง data key (ได้ทั้ง plaintext และ ciphertext blob)
aws kms generate-data-key \
  --key-id alias/my-cmk \
  --key-spec AES_256

# 2) เข้ารหัสข้อมูลเล็ก (<=4KB) ตรงๆ ด้วย KMS
aws kms encrypt \
  --key-id alias/my-cmk \
  --plaintext fileb://secret.txt \
  --output text --query CiphertextBlob | base64 --decode > secret.enc

# 3) ถอดรหัส
aws kms decrypt \
  --ciphertext-blob fileb://secret.enc \
  --output text --query Plaintext | base64 --decode

ต่างจาก service อื่น การเข้าถึง KMS key ถูกควบคุมด้วย Key Policy เป็นหลัก (resource-based policy ที่ติดกับตัว key) — ถ้าไม่มี Key Policy ที่อนุญาต จะไม่มีใครเข้าถึง key ได้เลย แม้จะเป็น root ดังนั้น key policy คือ gatekeeper ตัวจริงของ KMS

{
  "Sid": "Allow use of the key cross-account",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/AppRole"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:GenerateDataKey",
    "kms:DescribeKey"
  ],
  "Resource": "*"
}

Automatic Key Rotation

• AWS Managed Keys: หมุนอัตโนมัติทุก 1 ปี (เปิดอยู่แล้ว แก้ไม่ได้)
• Customer Managed Keys: เปิด automatic rotation ได้เอง default ทุก 1 ปี และตั้ง custom period ได้ (90–2560 วัน) รวมทั้งหมุนแบบ on-demand ได้
• Imported key material / Asymmetric keys: ต้องหมุนแบบ manual (สร้าง key ใหม่ + เปลี่ยน alias) เพราะ automatic rotation รองรับเฉพาะ symmetric ที่ KMS สร้างเอง
• ตอนหมุน key, key ID และ ARN เดิมไม่เปลี่ยน KMS เก็บ backing key เก่าไว้ถอด ciphertext เดิมได้

Multi-Region Keys

Multi-Region Keys คือชุด key ที่มี key ID เดียวกัน (มี prefix mrk-) ใน primary region และ replica ในหลาย region โดยทุกตัวมี key material เดียวกัน ทำให้ ciphertext ที่ encrypt ใน region หนึ่ง decrypt ได้ใน region อื่นโดยไม่ต้องเรียก cross-region API เหมาะกับ Global DynamoDB tables, Global Aurora, disaster recovery สำคัญ: key เหล่านี้ถูก manage แยกอิสระแต่ละ region (policy/grant แยกกันได้)

Disable & Delete Key

• Disable key ได้ทันที (กลับมา enable ภายหลังได้)
• Schedule deletion: ต้องตั้ง waiting period 7–30 วัน (default 30 วัน) ระหว่างนี้ยกเลิกได้
• ลบ key แล้ว = ข้อมูลที่เข้ารหัสด้วย key นั้นถอดไม่ได้ตลอดกาล จึงมี waiting period บังคับเป็น safety net
• Multi-region replica key ลบได้เร็วกว่า (waiting period สั้นได้) แต่ primary จะลบไม่ได้ถ้ายังมี replica อยู่

KMS มี shared request quota ต่อ region ต่อ account สำหรับ cryptographic operations เมื่อเกิน quota จะได้ error ThrottlingException สถานการณ์นี้พบบ่อยตอนหลายบริการ decrypt พร้อมกันจำนวนมาก

• เมื่อโดน throttle จะได้ ThrottlingException — วิธีแก้คือใช้ exponential backoff retry
• ถ้าโดน throttle เป็นประจำ สามารถ ขอเพิ่ม quota ผ่าน Service Quotas / Support ticket
• ทางแก้เชิงสถาปัตยกรรมที่ดีที่สุดสำหรับ workload ที่ encrypt/decrypt ถี่มากๆ คือ Data Key Caching (ลดจำนวน call ไปที่ KMS โดยตรง)

SSM Parameter Store เป็นที่เก็บ configuration และ secrets แบบ serverless มี versioning, จัด hierarchy ด้วย path และ integrate กับ KMS สำหรับ encryption (SecureString) ราคาถูกกว่า Secrets Manager มาก

Parameter Types

Standard vs Advanced Tier

Hierarchy, Path & Public Parameters

• จัดเป็น path เช่น /my-app/dev/db-url, /my-app/prod/db-password แล้วใช้ GetParametersByPath ดึงทั้ง branch ได้ทีเดียว
• เข้าถึงได้ผ่าน IAM โดยกำหนด policy ตาม path
• Public parameters เช่น AMI ล่าสุดของ Amazon Linux: /aws/service/ami-amazon-linux-latest/... ใช้ใน CloudFormation/automation ได้

# CloudFormation อ้างอิง SSM Parameter (dynamic reference)
Resources:
  MyInstance:
    Type: AWS::EC2::Instance
    Properties:
      # ดึง AMI ล่าสุดจาก public parameter
      ImageId: '{{resolve:ssm:/aws/service/ami-amazon-linux-latest/al2023-ami-kernel-default-x86_64}}'
      # ดึง secure password (ssm-secure)
      KeyName: '{{resolve:ssm:/my-app/prod/keyname:1}}'

# CLI ตัวอย่าง
# เขียน SecureString
# aws ssm put-parameter --name /my-app/prod/db-password \
#   --value 'P@ssw0rd' --type SecureString --key-id alias/my-cmk
# อ่านพร้อม decrypt
# aws ssm get-parameter --name /my-app/prod/db-password --with-decryption

AWS Secrets Manager ออกแบบมาเพื่อเก็บ secrets โดยเฉพาะ จุดขายหลักคือ automatic rotation ทุก X วันผ่าน Lambda function และ integrate กับ RDS / Redshift / DocumentDB โดยตรง secrets ถูกเข้ารหัสด้วย KMS เสมอ (บังคับ)

• Automatic rotation: ตั้งให้หมุน secret ทุก N วัน Secrets Manager เรียก Lambda ที่ทำหน้าที่สร้าง credential ใหม่และอัปเดตทั้งใน secret และใน database
• Native integration กับ RDS/Aurora: มี Lambda rotation template ให้เลย ไม่ต้องเขียน rotation logic เอง
• เข้ารหัสด้วย KMS อัตโนมัติ (ใช้ aws/secretsmanager หรือ CMK ของคุณ)
• Multi-region replication ของ secret รองรับ (สำหรับ DR / global apps)

{
  "SecretId": "prod/myapp/db",
  "RotationLambdaARN": "arn:aws:lambda:ap-southeast-1:111122223333:function:SecretsManagerRDSRotation",
  "RotationRules": {
    "AutomaticallyAfterDays": 30
  }
}

นี่คือหัวข้อที่ออกสอบบ่อยที่สุดในกลุ่มนี้ ต้องเลือกได้ว่าเมื่อไหร่ใช้ตัวไหน โดยดูที่ rotation, cost และ integration

CloudHSM ต่างจาก KMS ตรงที่ AWS จัดหา hardware (dedicated HSM device) ให้ แต่ คุณจัดการ encryption key เองทั้งหมด AWS ไม่มีสิทธิ์เข้าถึง key เลย เป็น single-tenant, FIPS 140-2 Level 3 เหมาะกับองค์กรที่ต้องการ control key เต็มที่หรือมีข้อกำหนด compliance เข้มงวด

ACM ใช้จัดการ TLS/SSL certificate สำหรับ encryption in-flight (HTTPS) ออก public certificate ฟรี และ auto-renew ให้ จุดที่ออกสอบคือ certificate ของ ACM ใช้กับ service ไหนได้บ้าง และ region constraint

• Integrate กับ ELB (ALB/NLB), CloudFront, API Gateway — terminate TLS ที่ระดับ load balancer/edge
• Public certificate ฟรี และ AWS จัดการ renewal อัตโนมัติ (ลดความเสี่ยง cert หมดอายุ)
• รองรับ import certificate จากภายนอกได้ แต่ตัวที่ import เอง ไม่ auto-renew ต้อง renew เอง
• รองรับ ACM Private CA สำหรับออก private certificate ภายในองค์กร