【重要】S3のSSE-Cデフォルト設定変更！鍵の管理リスクをAWSが「自動」で抑止する新基準へ

Amazon S3は、すべての新規作成される汎用バケットにおいて、SSE-C（顧客提供の鍵によるサーバーサイド暗号化）をデフォルトで無効化する新しいセキュリティ・ベストプラクティスを順次展開しています。既存のバケットについては、SSE-Cで暗号化されたオブジェクトが存在しないアカウントについては、新規の書き込みリクエストに対してSSE-Cを無効化します。一方で、SSE-Cを現在活用しているAWSアカウントについては、既存バケットの設定変更は行われません。この変更は、東京（ap-northeast-1）や大阪（ap-northeast-3）を含む世界37リージョンに展開されます。

💡 技術的な視点：鍵管理の「事故」を防ぐための大きな一歩

今回の変更は、一見すると「使える機能が制限される」ように見えるかもしれませんが、実態は**「鍵の管理ミスによるデータ紛失や漏洩リスク」をAWSが肩代わりして減らしてくれる**、非常に合理的なアップデートです。

🛠️ なぜSSE-Cは「デフォルト無効」になるのか？

SSE-Cは、ユーザーが暗号化鍵を自分で管理し、リクエストごとに渡す必要があります。これは非常に強力ですが、「鍵を失くした瞬間にデータが二度と復元できない」、あるいは**「鍵の管理フローが不適切でセキュリティホールになる」**といった運用上の大きなリスク（ペインポイント）を抱えています。

🇯🇵 日本国内への影響とリージョン状況

AWS公式の調査結果によると、東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）は、今回の変更が適用される対象リージョンに含まれています。 日本国内で動かしているシステムへの影響を心配するエンジニアは、特に新規バケット作成時の挙動に注意してください。

🚀 実務へのアドバイスとコスト最適化

• SSE-KMSへの移行を検討すべきタイミング： SSE-Cを使い続けている、あるいは今後使いたい場合は、鍵管理の堅牢性と監査ログの管理のしやすさから、SSE-KMSへの移行を強く推奨します。
• コスト削減のコツ： SSE-KMSを利用する場合、KMS API呼び出しのコストが懸念されますが、**「S3 Bucket Keys」**を有効にすることで、KMSへのリクエスト回数を大幅に削減でき、コストを最大99%抑えることが可能です。

✅ 次に何をすべきか？（Next Action）

1. 現在の利用状況を監査する： AWS ConfigやS3 Inventoryを使用して、SSE-Cを使用しているバケットやオブジェクトがないか確認しましょう。CloudTrailで PutObject 等のイベントを確認するのも有効です。
2. 新しいバケットの挙動を確認する： 新しくバケットを作成し、デフォルトの暗号号化設定がどのように変わっているか、実際にテストしてみてください。
3. 自動化スクリプトの更新： TerraformやCloudFormationなどでバケット作成を自動化している場合、SSE-Cを明示的に指定していない限り、デフォルト設定が変更される可能性があるため、スクリプトの定義を見直しておきましょう。

参照元 documentation： S3 Default SSE-C Encryption Setting FAQ Protecting Data with Amazon S3 Encryption Reducing Amazon S3 Costs with Bucket Keys