Amazon OpenSearch Service がインデックス単位の暗号化をサポート

Amazon OpenSearch Service において、インデックスごとに異なる AWS KMS カスタマー管理キーを使用して保存時の暗号化を行う「インデックス単位の暗号化」がサポートされました。これにより、同一ドメイン内でデータの所有権や機密性が異なるデータセットを、個別の KMS キーで暗号学的に分離して保護することが可能になります。本機能は OpenSearch バージョン 3.3 以降のドメインが対象であり、設定時に暗号化モードを「Native」に設定する必要があります。追加料金は発生しませんが、標準的な AWS KMS および OpenSearch Service の料金が適用されます。

💡 技術的なメリットと解決される課題

これまで Amazon OpenSearch Service の保存時暗号化はドメイン全体で単一の KMS キーを使用する仕様でした。そのため、マルチテナント型のアプリケーションにおいて、「テナントごとに暗号化キーを分けたい」、あるいは**「特定の機密データのみ、より厳格なキー管理を行いたい」**というニーズに対し、ドメインを分ける以外に手段がありませんでした。今回のアップデートにより、同一ドメイン内でインデックスごとにキーを使い分けることができ、**暗号学的分離（Cryptographic isolation）**が実現可能になります。

🌏 日本国内のリージョン状況

リサーチの結果、本機能は 東京リージョン (ap-northeast-1) で利用可能 です。一方で、大阪リージョン (ap-northeast-3) については、公式発表の対象リージョンリストに含まれておらず、現時点では利用可否が明記されていません。

🛠️ 運用上のアドバイスと次のステップ

• セキュリティ強化: マルチテナント環境でのデータ分離要件を満たすために非常に強力な武器になります。コンプライアンス要件が厳しい顧客向けのインデックスのみ、専用の KMS キーを割り当てる運用が検討できます。
• コスト: 機能自体の追加料金はありませんが、KMS の API コール数に応益して料金が発生するため、インデックス数やキーの管理数が増える場合は、コストへの影響を考慮しておきましょう。
• 次に行うこと: まずは OpenSearch バージョン 3.3 以降のドメインを作成（またはアップグレード）し、暗号化モードを「Native」に設定して、インデックス作成時に KMS キーを指定できるか検証環境で検証することをお勧めします。

参照ドキュメント: Amazon OpenSearch Service Developer Guide - Index-level encryption https://docs.aws.amazon.com/opensearch-service/latest/developerguide/index-level-encryption.html