前回、前々回からの続きです。
今回はKMSによる暗号化と復号の流れについてです。
■暗号化の流れ
以下の流れで、データを暗号化します。
尚、１～４はKMSで実装されている処理です。（ユーザ側での実装不要です）
５、６はユーザ側で実装する必要があります。
１．ユーザがAPI（GenerateDataKey）を呼び出し、CDKを生成します。（この時点ではCDKは平文です）
２．キーストアで暗号化されているCMKがKMS内で復号されます。
３．復号されたCMKを利用し、上記１で生成したCDKを暗号化します。
４．平文のCDK（上記１）と暗号化されたCDK（上記３）の2つがユーザに返されます。
５．ユーザは平文のCDKを使って対象データを暗号化します。
（この時点で、平文のCDKと平文のデータは破棄する必要があります。）
６．暗号化されたデータ（上記５）と暗号化したCDK（上記３）をキーストアに格納します。
※上記５の通り、暗号化に利用するのはあくまで平文のCDKです。
また、暗号化後に平文のCDKは削除（破棄）されてしまうため、キーの秘匿性が保たれます。
■復号の流れ
以下の流れで、データを復号します。
７．ユーザがAPI（Decrypt）を呼び出し、KMSからCMKを取り出します。
８．上記６で保存した暗号化したCDKを復号します。
９．復号したCDKを使用し、キーストアに保存されている暗号化データを復号します。
以上です。
