【緊急速報】Amazon Cognitoの「鍵」を握るのはあなただ！保管時暗号化にKMSカスタマー管理鍵（CMK）がついに対応！

Amazon Cognitoのユーザープールにおいて、これまでAWS管理の鍵による暗号化のみだった保管時暗号化が、AWS KMSの「カスタマー管理鍵（CMK）」による暗号化に対応しました。これにより、鍵のライフサイクル管理、カスタムアクセスポリシーの適用、およびCloudTrailを用いた詳細な監査が可能になります。本機能はEssentialsおよびPlusティアのユーザープールで利用可能です。

🔐 ついに「鍵の管理権限」が解放された！

これまでCognitoのユーザーデータ保護といえば、AWS任せの暗号化が基本でした。しかし、今回のアップデートで、「鍵の管理は自分たちで行いたい」という、金融や医療、ガバナンス要件の厳しい現場のエンジニアにとって待望の機能がついに実装されました。

🛠️ 何が解決されるのか？

• コンプライアンス対応の壁: 「鍵を自社（自組織）で管理せよ」という厳格な監査要件に対し、Cognitoでも直接的な対応が可能になります。
• リスク管理の高度化: 万が一の事態が発生した際、KMS鍵を無効化するだけで、ユーザーデータのアクセスを即座に遮断できる強力なコントロール権が得られます。

🇯🇵 国内リージョンの状況

リサーチの結果、東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）ともに、本機能は利用可能であることが確認されています。日本のエンタープライズ案件でも、すぐに導入検討ができる状態です。

⚠️ 運用のプロが教える「落とし穴」

• 「鍵の削除」は命取り: KMS鍵を削除したり無効化したりすると、ユーザープールのデータが二度と復旧できなくなります。鍵の削除保護（Deletion Protection）などの設定は必須です。
• コスト面: Cognito側の追加料金はありませんが、KMSの標準料金（鍵の保管料やAPIリクエスト料）が別途発生します。コスト試算を忘れずに。
• プランの確認: Liteティアでは利用できないため、導入前に必ずプランを確認してください。

🚀 次にやるべきアクション

1. まずは非本番環境で、「KMS鍵のポリシー」にCognitoのサービスプリンシパル（cognito-idp.amazonaws.com等）を許可する設定を行い、正しく動作するかテストしてください。
2. 鍵のエイリアスではなく、KMS鍵のARNを指定する必要がある点に注意しましょう。

参照ドキュメント: Amazon Cognito 開発者ガイド (https://docs.aws.amazon.com/cognito/latest/developerguide/data-protection.html)