AWS Lambda がセルフマネージド Apache Kafka の OAuth 認証をサポート | セキュリティ要件を満たすサーバーレス Kafka コンシューマーの構築が可能に

AWS Lambda は、ユーザー自身で運用する Apache Kafka クラスターや、Confluent Cloud、Aiven、Redpanda などのマネージドサービスを含む「セルフマネージド Apache Kafka イベントソースマッピング (ESM)」において、OAuth 認証をサポートしました。これにより、Amazon Cognito や Okta などのエンタープライズ ID プロバイダー (IdP) を使用して、Lambda Kafka コンシューマーの認証を統合管理することが可能になります。

🛠️ エンジニア視点での考察

解決される課題とメリット

以前の Kafka ESM では、SASL/PLAIN、SASL/SCRAM、mTLS のみがサポートされており、OAuth 認証を必須とする規制業界やエンタープライズ環境では、Lambda を Kafka コンシューマーとして利用する際にセキュリティ要件を満たせないという課題がありました。今回のアップデートにより、Amazon Cognito や Okta といった既存の **エンタープライズ IdP を活用した認証が可能になり、アイデンティティガバナンスとアクセス制御ポリシーを Kafka クラスター全体で一貫して適用できるようになります。

🇯🇵 日本国内リージョンの利用状況

リサーチの結果、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で、本機能（OAuth 認証）の利用が可能であることが確認されています。セルフマネージド Kafka ESM が利用可能なすべての AWS 商用リージョンで提供されるため、対象となる Kafka クラスターを AWS 上で運用している場合は、すぐに導入検討が可能です。

💡 実務上のアドバイス

決済処理や不正検知、リアルタイムデータパイプラインなどのミッションクリティカルなワークロードにおいて、高度なセキュリティ要件を満たしながらサーバーレスな Kafka コンシューマーを構築したい場合に非常に強力な選択肢となります。既存の認証方式（mTLS 等）からの移行を検討する場合は、AWS Management Console、Lambda API、AWS CLI、AWS CloudFormation、AWS SAM を way of working として活用し、設定の整合性を確認してください。

🚀 次のアクション

まずは、現在運用中の Kafka クラスターの OAuth 設定と、Amazon Cognito や Okta 等の IdP との連携フローを、AWS Lambda の公式ドキュメントに基づき、新しい Kafka ESM を作成して検証することをお勧めします。

📚 参照ドキュメント

• AWS Lambda 開発者ガイド: https://://docs.aws.amazon.com/lambda/latest/dg/with-kafka.html
• AWS Lambda 料金: https://://docs.aws.amazon.com/lambda/pricing/