AWS Transfer Family が SFTP サーバーホストキーの AWS Secrets Manager 保存をサポート

AWS Transfer Family において、SFTP サーバーのホストキーをユーザー自身の AWS アカウント内の AWS Secrets Manager に保存することが可能になりました。これにより、プライベートキー素材をプログラム的に取得・再利用することができ、サーバーの移行やリージョンを跨いだフェイルオーバーの際に、クライアント側でホストキーの変更警告（Trust on First Use: TOFU）が発生しない運用が可能になります。本機能は AWS Transfer Family が提供されているすべての AWS リージョンで利用可能です。

🛠️ エンジニアへの技術的アドバイス

💡 解決される課題とメリット

これまで AWS Transfer Family のホストキーはサービス内部で管理されており、プライベートキーを直接取得・管理することができませんでした。そのため、サーバーの移行やフェイルオーバー時にホストキーが変わってしまうことが避けられず、SFTP クライアント側で「ホストキーが変更されました」というセキュリティ警告が表示されるという運用上の課題がありました。今回のアップデートにより、Secrets Manager に保存することで、アイデンティティのポータビリティが実現し、同一のホストキーを複数のサーバーやリージョン間で共有できるようになります。

🇯🇵 日本国内リージョンの状況

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で本機能が利用可能であることが確認されています。国内のミッションクリティカルなシステムにおいて、DR（災害対策）やリージョン間移行を検討している場合、非常に有用な機能です。

⚠️ 運用上の注意点

• シークレットの管理: Transfer Family が作成するシークレットには transfer! プレフィックスが付与されます。Secrets Manager コンソールや API から直接値を書き換えることはできません。また、自動ローテーション機能も利用できません。キーを更新する場合は、新しいホストキーをインポートし、古いものを削除するという手順を踏む必要があります。
• セキュリティ: IAM ポリシーを使用して、誰がキーを取得できるかを詳細に制御できます。シークレットを誤って削除すると、SFTP サーバーの接続に影響が出るため、注意が必要です。

🚀 次のアクション

既存の Transfer Family サーバーの設定を確認し、必要に応じてホストキーのストレージタイプを Secrets Manager に変更することを検討してください。特に、フェイルオーバーを前提としたマルチリージョン構成を検討している場合は、まず検証環境でホストキーの共有がテストされることを推奨します。

参照リソース: Managing host keys in the AWS Transfer Family User Guide Store SFTP server host key in AWS Secrets Manager