OpenSearch Service がインデックス単位の暗号化に対応！テナントごとに別の KMS キーで守れるよ

みんな、しぃちゃんだよ！

AWS What's New aws.amazon.com

マルチテナントのデータを守りたい人に嬉しい発表だよ！

なにが発表されたの？

AWS の What's New で、Amazon OpenSearch Service がインデックス単位の暗号化(index-level encryption)に対応したと発表されたよ。インデックスごとに、それぞれ専用の AWS Key Management Service(AWS KMS)カスタマーマネージドキーで保存時暗号化できるの。

今までどうだったの？

この機能は、既存の保存時暗号化の上に作られているよ。インデックス単位だと、同じドメインにある所有者や機密度の違うデータを、別々のキーで守れるのが新しいところなの。

これで何が変わるの？

たとえばマルチテナントのアプリでは、テナントごとにデータを別のキーで暗号化できるよ。同じドメインの中でも、データの所有者ごとにキーを分けて管理できるのが嬉しいね！

深く潜ってみよう

使い始める流れはこうだよ。

• AWS マネジメントコンソールか AWS CLI で、新しいドメインを作るときに暗号化モードを Native にして、カスタマーマネージドキーを指定する
• そのあと、ドメインに追加のキーを登録する
• 登録したキーを使って、個別のインデックスを暗号化する

提供条件はこうなの。

• 対象は OpenSearch バージョン 3.3 以降のドメイン
• 追加料金なし(標準の AWS KMS と OpenSearch Service の料金はかかる)
• 14 の AWS リージョンで利用可能

利用できるリージョンはこれだよ。

• 米国東部(バージニア北部、オハイオ)
• 米国西部(オレゴン)
• カナダ(中部)
• アジアパシフィック(ムンバイ、ソウル、シンガポール、シドニー、東京)
• 欧州(フランクフルト、アイルランド、ロンドン、パリ)
• 南米(サンパウロ)

詳しくは、Amazon OpenSearch Service デベロッパーガイドの Index-level encryption を見てね。

まとめ

• インデックスごとに専用の KMS カスタマーマネージドキーで暗号化できる
• 新規ドメイン作成時に暗号化モードを Native にして有効化する
• OpenSearch 3.3 以降、14 リージョンで利用できる
• 追加料金はなし(KMS と OpenSearch の標準料金は別)

テナントごとにキーを分けたい、マルチテナントの検索基盤を持つみんなに刺さるよ！