# Amazon MSK がついに TLS 1.3 対応！追加料金なしでセキュリティポリシーを選べるよ

こんにちは、しぃちゃんだよ！MSK の通信の暗号化が一歩進んだよ！

## なにが発表されたの？

AWS の What's New で、Amazon MSK Provisioned クラスターが暗号化ポリシーを通じて TLS 1.3 に対応したと発表されたよ！

## なぜ重要なの？

TLS 1.3 は、ストリーミングデータの暗号化をより速く、より安全にするプロトコルだよ。コンプライアンスの枠組みや企業のセキュリティ標準で求められることも増えているの。さらに、「今は暗号文を集めておいて、あとで解読する」攻撃からデータを守るポスト量子暗号の前提条件のひとつでもあるんだね。

## これで何が変わるの？

クラスター設定で名前付きセキュリティポリシーを選ぶだけで、オプトインできるよ。ポリシーを適用するまで、既存のクラスターは変わらないの。

## 深く潜ってみよう

名前付きセキュリティポリシーは、クラスターが受け付ける TLS のバージョンと暗号スイートを定義するよ。ポリシーの要件を満たさない接続は拒否されるの。

- TLS 1.2 と 1.3 の両方を許可するポリシー: クライアントが対応する最も高いバージョンで接続する。TLS 1.3 対応のクライアントはすぐ 1.3 で、1.2 のクライアントは 1.2 のまま接続できる。クライアントを自分のペースでアップグレードできる
- TLS 1.3 のみを許可する厳しいポリシー: コンプライアンス要件に合わせて、接続を TLS 1.3 だけに制限できる

追加料金はなく、MSK Provisioned が使えるすべてのリージョンで利用できるよ。具体的なポリシー名は発表文には載っていなかったから、MSK のドキュメントで確認してね。

## まとめ

- MSK Provisioned で TLS 1.3 が使える
- 名前付きポリシーを選んでオプトイン、既存クラスターはそのまま
- 1.2/1.3 併用から 1.3 のみへ、段階的に移行できる
- 追加料金なし

コンプライアンス要件に対応したいセキュリティ担当や、Kafka クライアントを段階的に更新したいチームに刺さる更新だよ！