Amazon CloudWatch Synthetics のカナリア環境変数にカスタマー管理型 KMS キーによる暗号化をサポート

Amazon CloudWatch Synthetics において、カナリア（Canary）の環境変数（API キー、認証情報、トークンなど）を暗号化するために、カスタマー管理型の AWS Key Management Service (KMS) キーを使用できるようになりました。従来は AWS 所有のキーによる暗号化のみでしたが、新たに「保存時の暗号化（Encryption at rest）」と「クライアントサイド暗号化（Client-side encryption）」の 2 つの手法が提供されます。保存時の暗号化では、カナリアの作成・更新時に KMS キーを指定することで透過的に暗号化・復号が行われます。クライアントサイド暗号化では、ユーザーが事前に値を暗号化し、実行時に AWS KMS Decrypt API を使用して復号します。本機能はすべての商用 AWS リージョンで利用可能です。

🔐 Get Ready for Better Security Control!

Amazon CloudWatch Synthetics を利用して外形監視を行習しているエンジニアにとって、今回のアップデートは非常に大きな価値があります。これまで、カナリアの環境変数に機密情報を格納する際、暗号化の制御権が AWS 側にあったため、組織のセキュリティポリシー（キーローテーションや監査ログの取得など）に完全に準閉拠することは難しかったはずです。

🛠️ 技術的な解決策

• 保存時の暗号化: 設定を AWS に任せつつ、管理権限をユーザー側に持たせることができます。運用負荷を抑えつつ、コンプライアンス要件を満たせます。
• クライアントサイド暗号化: より高度なセキュリティが必要な場合、カスタマイズされた暗号化フローを導入できます。API キーなどの極めて機密性の高い値を、スクリプト内で明示的に復号する形になります。

🇯🇵 日本国内リージョンの状況

リサーチの結果、東京 (ap-northeast-1) および 大阪 (ap-northeast-3) リージョンにおいて、本機能は利用可能と判断されます。マルチロケーション・カナリアを使用する場合、各リージョンごとに異なる KMS キーを割り当てることが可能です。

💡 実務上のアドバイス

• キー管理のコスト: カスタマー管理型 KMS キーを使用する場合、標準的な KMS キーの料金が発生します。大量のカナリアを作成する場合は、コスト計算に含めておてください。
• 権限管理 (IAM/KMS Grant): CloudWatch Synthetics が透過的に復号を行うためには、KMS キーのポリシーで CloudWatch Synthetics への Grant（権限付与）を許可する必要があります。設定ミスによりカナリアの実行が失敗するケースが想定されるため、作成時に権限設定を慎重に行うことが推奨されます。

🚀 次のアクション

既存のカナリアの環境変数に機密情報が含まれている場合、まずは**既存のカナリアの更新（Update Canary）**を通じて、カスタマー管理型 KMS キーへの移行を検討してください。また、クライアントサイド暗号化を利用する場合は、AWS KMS Decrypt API の呼び出しコードをカナリアスクリプト内に実装する必要があります。

参照元: Amazon CloudWatch User Guide - Encrypting environment variables