AWS DataSync Enhanced mode が Google Cloud と Microsoft Azure への OIDC 認証をサポート

AWS DataSync の Enhanced mode において、Google Cloud Storage および Microsoft Azure Blob Storage への接続時に OpenID Connect (OIDC) を用いた認証方式が追加されました。AWS IAM ロールを使用して Google Cloud または Microsoft Entra ID から短期間有効な認証情報を自動的に取得・更新し、データ転送を中断することなく継続的な実行が可能です。これにより、HMAC キーや SAS トークンなどの長期的な認証情報を管理・保持することなく、マルチクラウド間のデータ移動を実現できます。

🛠️ エンジニアへの技術的アドバイス

💡 解決される課題とメリット

従来のマルチクラウド間データ転送では、Google Cloud の HMAC キーや Azure の SAS トークンといった「長期的な認証情報（long-term credentials）」の管理が大きな負担でした。これらは漏洩リスクや、定期的なローテーションの運用負荷が高いという課題がありました。今回のアップデートにより、OIDC による ID フェデレーションを活用することで、、一時的かつ時間制限のある認証情報のみを使用するため、セキュリティコンプライアンスを厳に守る環境下での安全なデータ移行が実現します。

📍 日本国内リージョンの利用状況

リサーチの結果、東京 (ap-northeast-1) および 大阪 (ap-northeast-3) リージョンにおいて、本機能は利用可能であることが確認されています。DataSync Enhanced mode がサポートされているすべての AWS リージョンで利用可能です。

🚀 実務での運用アドバイス

• セキュリティ強化: 長期的なシークレットを DataSync のロケーション設定に埋め込む必要がなくなるため、IAM ロールの権限を最小限に絞った OIDC 設定を行うことが推奨されます。
• 移行コスト: 認証情報の自動更新機能により、認証切れによる転送ジョブの失敗を防げるため、運用コストの削減に効果的です。

🔍 次のアクション

まずは、既存の HMAC や SAS トークンを使用している DataSync ロケーションの設定を、OIDC ベースの認証へ移行する計画を立て、AWS CLI、API、または CloudFormation をを使用して、IAM ロールを DataSync ロケーションに追加する検証を行ってください。

📚 参考資料

• AWS DataSync User Guide https://docs.aws.amazon.com/datasync/latest/userguide/what-is-datasync.html