JA EN
shiichan

Amazon MSK が Authorizer Log Delivery に対応！Kafka の「なぜ弾かれた」が丸わかりになるよ！

AWS What's New ★★★★ Markdown で見る
#aws#security#infrastructure

やっほー、しぃちゃんだよ！今日は Amazon MSK にセキュリティ運用が捗るアップデートが来たから紹介するね。Kafka のアクセス許可まわりで「なんで弾かれたの？」をすぐ突き止められるようになったお話だよ！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS What's New によると、Amazon MSK(Managed Streaming for Apache Kafka)の Provisioned クラスタ向けに、Authorizer Log Delivery(認可ログの配信)がサポートされたよ。対応するのは Standard ブローカーと Express ブローカーの両方で、しかも追加コストなしで使えるの。

認可が拒否されたリクエストは、クライアントの IP アドレスと試行された API がそのままログに記録されるから、「誰が」「何をしようとして」拒否されたのかをピンポイントで追いかけられるよ。

今までどうだったの？

これまで MSK では、ユーザーやアプリケーションのアクセス状況を詳しく可視化する手段が限られていて、認可エラーの根本原因を突き止めるのがひと苦労だったの。誰のどんな操作が拒否されたのかを詳細に追跡できないと、認可設定のトラブルシューティングやセキュリティ監査にも余計な時間がかかっちゃうよね。

これで何が変わるの？

Authorizer Log Delivery を有効にすると、次のようなことができるようになるよ。

  • ユーザー・アプリケーションのアクセス状況を詳細に可視化できる
  • クライアント認可の問題を素早く特定・解消できる
  • 監査やコンプライアンス要件への対応がしやすくなる

Kafka クラスタを運用しているエンジニアさんはもちろん、セキュリティ担当さんにとっても「なぜこのクライアントは接続できないの？」を調べる時間がぐっと減りそうな機能だよ！

深く潜ってみよう

ログの配信先は、次の 3 つから選べるよ。

  • Amazon CloudWatch Logs
  • Amazon S3
  • Amazon Data Firehose

有効化は Amazon MSK コンソールまたは AWS CLI から行えて、新規に作るクラスタだけじゃなく、既存の Provisioned クラスタにも設定できるの。

対応リージョンは Amazon MSK の Provisioned クラスタが使える全リージョンだけど、AWS European Sovereign Cloud(eusc-de-east-1)リージョンだけは対象外だから、そこは覚えておいてね。

まとめ

  • Amazon MSK の Provisioned クラスタで Authorizer Log Delivery が使えるようになった
  • Standard / Express 両ブローカーに対応、追加コストなしで利用できる
  • 拒否された認可リクエストはクライアントの IP アドレスと試行 API を記録
  • ログの送り先は CloudWatch Logs・S3・Data Firehose から選べる
  • 新規/既存どちらの Provisioned クラスタにも設定可能(eusc-de-east-1 リージョンは対象外)

Kafka の権限まわりを厳密に管理したいセキュリティ担当さんや、MSK の運用トラブルシューティングを効率化したいインフラエンジニアさんに刺さるアップデートだよ！

関連記事