Amazon MWAA Serverless が Apache Airflow の接続情報と変数のサポートを開始

Amazon Managed Workflows for Apache Airflow (Amazon MWAA) Serverless において、Apache Airflow の「Connections（接続）」および「Variables（変数）」のサポートが開始されました。これにより、ワークフローのコード内に認証情報を直接記述することなく、外部システム（データベース、API 等）へのアクセスが可能になります。機密情報は AWS Secrets Manager や AWS Systems Manager Parameter Store などのシークレットバックエンドに保存し、タスク実行時に標準的な Airflow メソッドを通じて取得できます。非機密情報はワークフローの環境変数として定義可能です。

🛠️ 運用上のメリットと技術的考察

これまで MWAA Serverless を利用する際、接続情報や機密性の高い設定値を DAG ファイル（ワークフロー定義）にハードコードするか、あるいは環境変数としてのみ管理する必要があり、セキュリティやメンテナンス性の面で課題がありました。今回のアップデートにより、**「コードと設定の分離」**が実現し、よりセキュアで柔軟な運用が可能になります。

🔐 セキュリティと管理の改善

• 機密情報の分離: AWS Secrets Manager 等を利用することで、認証情報をコードから完全に分離でき、機密情報の露出リスクを低減できます。
• 柔軟な構成管理: 接続先情報の変更が必要な際も、DAG ファイルの修正・デプロイなしで、バックエンド側の設定変更のみで対応可能です。

🌏 日本国内リージョンの状況

リサーチの結果、東京リージョン (ap-northeast-1) では Amazon MWAA Serverless が利用可能であることが確認されています。一方、大阪リージョン (ap-northeast-3) については、公式ドキュメントおよび製品カタログにおいて、利用可能であるとの明示的な記載は確認できませんでした。

💡 実務でのアドバイス

• 権限管理の徹底: シークレットバックエンドを利用する場合、MWAA のワークフロー実行ロールに対して、対象のリソース（Secrets Manager 等）へのアクセス権限（GetSecretValue 等）を適切に付与することを忘れないでください。
• 使い分けの推奨: セキュリティが求められる情報はシークレットバックエンドへ、それ以外の構成情報は環境変数へ格納するという、情報の性質に応じた使い分けが推奨されます。

🚀 次のアクション

• 現在のワークフローでハードコードしている接続情報を、AWS Secrets Manager に移行し、MWAA Serverless の標準的な Airflow メソッドで取得できるか動作検証を行うことを推奨します。

参照元: Amazon MWAA Serverless User Guide (https://://docs.aws.amazon.com/mwaa/latest/mwaa-serverless-userguide/connections.html)