SageMaker MLflow がカスタマー管理鍵（CMK）による暗号化をサポート開始

AWS Key Management Service (KMS) を利用したカスタマー管理鍵（CMK）によるデータ暗号化機能が、Amazon SageMaker MLflow で一般提供（GA）されました。

• 厳格なセキュリティ・コンプライアンス要件を持つ組織向けに、暗号化鍵のライフサイクルを自社で管理可能に。
• 対称 KMS 鍵のみサポート。鍵は MLflow App と同一の AWS アカウントおよびリージョンで作成する必要あり。
• AWS CloudTrail との統合により、データアクセスの監査ログを包括的に追跡可能。
• 提供リージョンは、MLflow App が利用可能なすべての AWS リージョン。

エンジニア視点での考察・アドバイス

解決される課題

• セキュリティ統制の強化: 従来の AWS 管理鍵（AWS-managed keys）では、鍵のローテーションやアクセス制御を AWS 側に依存していたが、CMK により自社ポリシーに基づいた柔軟な管理が可能に。
• コンプライアンス対応: 金融機関や医療機関など、厳格なデータ保護規制（例: FISC 安全対策基準、HIPAA）に準拠するための要件を満たしやすくなる。
• 監査証跡の充実: CloudTrail との統合により、誰がいつデータにアクセスしたかを詳細に追跡可能。内部不正や漏洩リスクの早期発見に寄与。

日本リージョンの状況（要確認）

• 東京リージョン (ap-northeast-1): 利用可能 MLflow App が提供されているため、CMK 暗号化も利用可能。
• 大阪リージョン (ap-northeast-3): 利用不可 MLflow App 自体が提供されていないため、本機能も利用不可。 注意: 大阪リージョンを利用している場合は、東京リージョンへの移行を検討する必要あり。

運用上の注意点

• 鍵の管理責任: CMK は自社で作成・管理するため、鍵の紛失や不正アクセスによるデータ復号不能リスクを考慮する必要あり。
  • ベストプラクティス: 鍵のローテーションポリシーを策定し、IAM ポリシーでアクセス制御を厳格化。
• コスト影響: CMK は AWS 管理鍵と異なり、月額料金（$1/月）と使用リクエストごとの料金が発生。
  • コスト最適化: 頻繁にアクセスされるデータは CMK、それ以外は AWS 管理鍵を使い分けるなどの工夫が必要。
• 移行時のダウンタイム: 既存の MLflow 環境で CMK を有効化する場合、一時的なデータアクセス不可が発生する可能性あり。
  • 推奨手順: 事前にテスト環境で移行手順を検証し、本番移行はメンテナンスウィンドウを設けて実施。

次のアクション

1. リージョン確認: 現在利用しているリージョンで MLflow App がサポートされているかを確認。
   • MLflow App 提供リージョン一覧
2. KMS 鍵の準備: 同一アカウント・リージョンに対称 KMS 鍵を作成。
   • KMS 鍵作成手順
3. テスト環境での検証: CMK を有効化した MLflow 環境で、データの暗号化・復号が正常に動作するか確認。
4. CloudTrail 設定: データアクセスログの取得を有効化し、監査証跡を確保。

参考ドキュメント

• SageMaker MLflow での CMK サポート詳細
• MLflow App 提供リージョン一覧