【AWS KMS】「あのキー、いつ使ったっけ？」の悩み、ついに解消！最終利用日をネイティブ追跡する神アップデート！

AWS Key Management Service (KMS) において、各KMSキーの最後に実行された成功した暗号化操作のタイムスタンプ、操作タイプ、および CloudTrail イベントIDをネイティブに追跡・表示する新機能が追加されました。この情報は、AWS マネジメントコンソールや GetKeyLastUsage API を介して取得可能です。さらに、新しく導入された条件キー kms:TrailingDaysWithoutKeyUsage を利用することで、最近使用されたキーの誤削除を防ぐガードレールを設置することも可能になります。

🛠️ エンジニアの「あるある」を解決する神アプデ！

今までKMSの管理って、本当に地味で面倒な作業でしたよね。「このキー、もう使ってないから消しても大丈夫かな？」と思ったら、CloudTrailのログを必死にクエリして、エラーが出てないか確認する……。そんな苦労が報われる瞬間が来ました！

💡 何が変わるのか？

• ログ分析からの解放: GetKeyLastUsage API一つで、キーが最後にいつ、どんな操作（Encrypt/Decryptなど）で使われたか一撃で分かります。CloudTrailをゴリゴリ検索する必要がなくなりました。
• 誤削除防止の最強ガードレール: 新しい条件キー kms:TrailingDaysWithoutKeyUsage がマジで優秀です。「最近使ったキーは消さない」というポリシーを自動で強制できるので、ヒューマンエラーによるインシデントを防げます。

🌏 日本国内の利用環境について

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方ですでに利用可能です。日本のエンジニアもすぐに導入・テストを開始できます。

🚀 実践的な運用アクション

1. 休眠キーの棚卸し: GetKeyLastUsage を使って、例えば「90日間利用されていないキー」を自動的にリストアップして通知するLambdaを組むのがおすすめです。コスト削減とセキュリティリスク低減の最短ルートです。
2. 「いきなり削除」は厳禁: 最終利用日を確認した後も、まずは**キーを「無効化 (Disable)」**しましょう。もし依存関係を見落としていた場合でも、エラーログを監視していればすぐに元に戻せます。これが一番安全な運用です。

🔍 次に何をすべきか？

まずはコンソールで、現在管理している主要なキーの詳細画面を見てみてください。最後にいつ使われたか、パッと表示されているはずです。

Reference: AWS KMS 開発者ガイド: Determine past usage of a KMS key AWS KMS 条件キー: kms:TrailingDaysWithoutKeyUsage