AWS Lambda durable functions が AWS KMS カスタマー管理キーによる暗号化をサポート

AWS Lambda durable functions において、実行データ（durable execution data）の暗号化に AWS Key Management Service (AWS KMS) のカスタマー管理キー (CMK) が利用可能になりました。これにより、デフォルトの AWS 所有キーではなく、ユーザー自身でキーのローテーションやアクセス制御を管理できるようになります。本機能は Lambda durable functions が提供されているすべてのリージョンで利用可能であり、追加の Lambda 料金はかからず、標準の AWS KMS 料金が適用されます。

運用の柔軟性とガバナンスの向上

これまで Lambda durable functions の状態管理データは AWS 所有のキーで暗号化されていましたが、今回のアップデートで CMK (カスタマー管理キー) が使えるようになりました。特に金融やヘルスケアなど、厳格なデータガバナンスが求められる業界では「鍵の所有権」が必須要件になることが多いため、待望の機能と言えます。

ここがポイント：権限の分離

注目すべきは、「関数レベルのキー（環境変数や SnapStart 用）」とは独立して動作する点です。これにより、「関数の設定を変更できる権限」と「実行履歴や状態データにアクセスできる権限」を完全に切り分けて管理できるため、最小権限の原則をより厳格に適用できます。

日本国内の利用状況

最新の状況を確認したところ、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能です。国内のマルチリージョン構成でワークフローを組んでいる場合も、同様のセキュリティポリシーを適用できます。

実務上のアドバイスと注意点

• コスト面: Lambda 側の追加料金はありませんが、KMS の API コール数やキー保持コストが発生します。高頻度で状態が更新されるワークフローの場合、KMS のクォータやコストへの影響を事前に試算することをお勧めします。
• キーポリシー: CMK を導入する場合、Lambda サービスがそのキーを使用してデータを暗号化・復号できる適切なキーポリシーを設定してください。

次のアクション

まずは開発環境で CMK を設定し、実行履歴の参照権限を制限した状態でワークフローが正常に動作するか、また意図した通りにアクセス制御が効いているかを確認してみてください。

参照ドキュメント

• Encrypting Lambda durable execution data