【革命】AWS Payment Cryptographyにクロスアカウント鍵共有が降臨！「鍵のコピー地獄」からついに解放されるのか！？

AWS Payment Cryptographyは、リソースベースポリシー（RBP）によるアカウントをまたいだ暗号鍵の共有機能を発表しました。これにより、鍵のインポート/エクスポート作業を介さずに、単一の鍵素材を用いて複数のAWSアカウント間で安全に暗号操作が可能になります。本機能は、東京および大阪リージョンを含む、AWS Payment Cryptographyが提供されている全リージョンで利用可能です。

💳 決済エンジニアの救世主！運用負荷を劇的に下げる新機能

これまでPCI DSSなどのコンプライアンス要件に基づいて、ワークロードごとにAWSアカウントを分割して運用してきた決済システム担当者は、「各アカウントに同じ鍵を複製して管理・配布する」という悪夢のような運用に直面してきました。鍵の系統（Lineage）の管理が複雑になり、監査への対応も一苦労でしたよね。

今回のアップデートで、その「鍵の重複排除」がスマートに実現できます！

🚀 ここがエンジニア的に熱い！

• インポート/エクスポートの廃止: 鍵を物理的に動かさずに、リソースベースポリシーで権限を付与するだけで共有可能。管理ミスによる流出リスクも激減します。
• きめ細やかな制御: 「このアカウントには暗号化だけ許可し、復号は禁止」といった、リソース単位の極めて精密な権限設定が可能です。
• 日本国内でも即利用可能: 東京 (ap-northeast-1) と大阪 (ap-northeast-3) の両リージョンで既に利用可能であることが確認できています。国内プロジェクトでもすぐに試せます！

🛠️ 実践的な運用アドバイス

1. 最小権限の徹底: payment-cryptography:* のようなワイルドカード指定は厳禁。業務に必須のアクション（EncryptData など）のみを許可しましょう。
2. 監査証跡の確保: ポリシー変更操作（PutResourcePolicy）はIAMで制御されるため、CloudTrailでこれらの操作ログを確実にキャッチし、監査に備えてください。
3. マルチリージョン利用時の注意: RBPはプライマリリージョンのプライマリ鍵にのみ適用されます。レプリカ鍵は読み取り専用となるため、運用設計に注意が必要です。

🔍 次にやるべきこと

まずは、非本番環境でリソースベースポリシーを適用したクロスアカウントアクセスのテストを行い、**「鍵の共有範囲と権限の粒度」**が要件を満たしているか検証しましょう。

参照リソース: AWS Payment Cryptography User Guide - Resource-based policies