Amazon Transcribe のカスタムリソースにおける AWS KMS カスタマー管理キーへの対応

Amazon Transcribe において、カスタム語彙、カスタム語彙フィルタ、およびカスタム言語モデルを保存時に暗号化する際、ユーザーが所有・管理する AWS KMS キー（カスタマー管理キー）を使用できるようになりました。従来は AWS 所有のキーによる暗号化のみでしたが、今後は対称 AWS KMS キーを指定してリソースを作成または更新できます。なお、明示的にキーを指定しない場合は、引き続き AWS 所有のキーで暗号化されるオプトイン方式となっています。

💡 エンジニアの視点：セキュリティ要件の柔軟性が向上

これまで Amazon Transcribe のカスタムリソース（語彙やモデルなど）は、AWS 側の管理キーで暗号化されるため、「自社で暗号化キーのライフサイクルを完全に制御したい」というコンプライアンス要件を持つプロジェクトでは、対応が難しい側面がありました。

今回のアップデートにより、**「どの IAM エンティティに復号権限を与えるか」**を細かく制御でき、さらに AWS CloudTrail による利用ログの監査も可能になります。万が一の際にも、KMS キーを無効化することで即座にアクセスを遮断できるため、機密性の高い音声データを扱うアプリケーションにおいて非常に強力な武器になります。

🇯🇵 日本国内リージョンの状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) では本機能が利用可能です。一方で、大阪リージョン (ap-northeast-3) については、Amazon Transcribe 自体の提供が確認できていないため、本機能の利用も現時点では対象外となります。マルチリージョン展開を検討している場合は注意してください。

🛠 運用上のアドバイス

• コストと管理: カスタマー管理キーを使用する場合、KMS の利用料金が発生します。また、キーの削除や無効化を行うと、該当するカスタムリソースが利用できなくなるため、キーのローテーションや削除ポリシーには十分注意してください。
• 権限設定: Transcribe サービスが KMS キーを使用できるよう、キーポリシーで適切な権限（kms:GenerateDataKey や kms:Decrypt など）を許可しておく必要があります。

✅ Next Action

まずは、現在利用しているカスタム語彙やモデルの機密性を評価し、コンプライアンス要件を満たす必要がある場合は、テスト環境の KMS キーを用いて作成・更新フローが正常に動作するか検証することをお勧めします。

参照ドキュメント: Amazon Transcribe Developer Guide https://docs.aws.amazon.com/transcribe/latest/dg/what-is.html