【EKSガバナンス革命】「間違った設定」を物理的に作らせない！7つの新IAM条件キーでガードレールを爆速強化せよ

Amazon EKSにおいて、クラスターの作成および設定APIに対する7つの新しいIAM条件キーが導入されました。これにより、IAMポリシーやAWS OrganizationsのSCPを通じて、クラスターの構成（パブリックアクセス、暗号化、K8sバージョン、削除保護など）をプロアクティブに制限・強制することが可能になります。

🛠️ ついに「事後修正」の時代が終わる！？

これまでEKS運用で「あ、パブリックアクセスを有効にしたままにしちゃった」「K8sのバージョンが古すぎる」といった、設定ミスを検知して後から修正する**“事後チェック”の運用**に疲弊していませんでしたか？

今回のアップデートは、その苦しみから解放してくれる神アプデです。IAMやSCPを使って、**「ルールに沿わない設定のリクエスト自体を拒否する」**という、最強のプロアクティブなガードレールが構築できるようになりました。

📍 日本国内の利用状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で、追加料金なしですぐに利用可能です。日本のエンジニアも即座にガバナンス強化に組み込めます。

💡 実務での活用シナリオとアドバイス

• セキュリティの極致: eks:encryptionConfigProviderKeyArns を使って、顧客管理KMSキーの使用を強制。これによりコンプライアンス要件を確実に満たせます。
• 誤削除リスクの回避: eks:deletionProtection を必須化することで、本番環境のクラスターがうっかり消される悲劇を防げます。
• コストと影響: この機能自体の利用に追加コストは一切かかりません。ただし、いきなりSCPで拒否（Deny）設定をかけると、既存のCI/CDパイプラインが壊れる可能性があるため、注意が必要です。

🚀 次にやるべきこと

まずは、既存の運用フローを壊さずに、サンドボックス環境で新しい条件キーを用いたポリシーをテストすることをお勧めします。設定変更時には UpdateClusterConfig 等のAPIを介して、新しいガードレールに沿った状態へアップデートしていきましょう！

📚 参照リファレンス

• AWS Service Authorization Reference (EKS): https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonelastickubernetesservice.html#amazonelastickubernetesservice-policy-keys
• Amazon EKS User Guide: https://docs.aws.amazon.com/eks/latest/userguide/security-iam-service-with-iam.html#security-iam-service-with-iam-id-based-policies