【速報】SES Mail Managerがセキュリティ＆処理能力を大幅強化！レガシー環境との共存も可能に

Amazon Simple Email Service (SES) Mail Managerに、オプションのTLSと証明書ベース認証(mTLS)のサポート、そしてLambda関数呼び出しとBounceという2つの新しいルールアクションが追加されました。これにより、セキュリティ強化とメールインフラの移行がより容易になります。

SES Mail Managerの進化：現場エンジニアが知っておくべきこと

今回のアップデートは、既存のメールシステムからの移行を検討しているチームにとって非常に重要な改善です。特に、レガシーシステムとの連携は、多くの現場で頭を悩ませる問題でしたが、オプションのSTARTTLSによって、段階的な移行が可能になります。

解決される課題:

• レガシーシステムとの互換性: TLSに対応していない古いシステムでも接続できるようになります。
• SMTP認証のセキュリティ: mTLSにより、より強固な認証が可能になり、なりすましリスクを低減できます。
• メール処理の柔軟性: Lambda関数を呼び出すことで、カスタムのメール処理ワークフローを簡単に構築できます。
• メール配信のフィードバック: RFC準拠のBounceルールアクションにより、送信サーバーへの正確な配信状況の通知が可能になります。

日本のリージョンについて: 最新のリージョン状況を確認しましたが、東京(ap-northeast-1)と大阪(ap-northeast-3)の両方で、これらの新機能は利用可能です。AWS公式の裏取りも完了しています。

実践的なアドバイス:

• 移行: STARTTLS=OPTIONALで接続性をテストし、徐々にTLSを強制していくことを推奨します。
• セキュリティ: mTLSを利用する際は、信頼された認証局(CA)の証明書を必ず登録してください。また、定期的な証明書のローテーションと、侵害された場合の失効手続きを確立することが重要です。
• コスト: Lambda関数の呼び出し回数には注意し、必要に応じてプロビジョニングされた同時実行を使用することを検討してください。
• 監視: Lambdaの実行状況やBounceレートをCloudWatchで監視し、異常を早期に検知できるように設定しましょう。

最初に試すべきこと:

1. mTLSを有効にしたIngress Endpointを作成し、クライアント証明書での接続をテストする。
2. Lambda関数を呼び出すルールを作成し、正常に実行されることを確認する。
3. Bounceルールをシミュレートし、RFC準拠の応答が送信されることを検証する。

参考資料:

• Amazon SES Mail Manager Ingress Endpoints: https://docs.aws.amazon.com/ses/latest/dg/eb-ingress.html
• Amazon SES Regional Availability: https://docs.aws.amazon.com/general/latest/gr/ses.html