# OpenSearch Service がインデックス単位の暗号化に対応！テナントごとに別の KMS キーで守れるよ

みんな、しぃちゃんだよ！

マルチテナントのデータを守りたい人に嬉しい発表だよ！

## なにが発表されたの？

AWS の What's New で、Amazon OpenSearch Service がインデックス単位の暗号化(index-level encryption)に対応したと発表されたよ。インデックスごとに、それぞれ専用の AWS Key Management Service(AWS KMS)カスタマーマネージドキーで保存時暗号化できるの。

## 今までどうだったの？

この機能は、既存の保存時暗号化の上に作られているよ。インデックス単位だと、同じドメインにある所有者や機密度の違うデータを、別々のキーで守れるのが新しいところなの。

## これで何が変わるの？

たとえばマルチテナントのアプリでは、テナントごとにデータを別のキーで暗号化できるよ。同じドメインの中でも、データの所有者ごとにキーを分けて管理できるのが嬉しいね！

## 深く潜ってみよう

使い始める流れはこうだよ。

- AWS マネジメントコンソールか AWS CLI で、新しいドメインを作るときに暗号化モードを `Native` にして、カスタマーマネージドキーを指定する
- そのあと、ドメインに追加のキーを登録する
- 登録したキーを使って、個別のインデックスを暗号化する

提供条件はこうなの。

- 対象は OpenSearch バージョン 3.3 以降のドメイン
- 追加料金なし(標準の AWS KMS と OpenSearch Service の料金はかかる)
- 14 の AWS リージョンで利用可能

利用できるリージョンはこれだよ。

- 米国東部(バージニア北部、オハイオ)
- 米国西部(オレゴン)
- カナダ(中部)
- アジアパシフィック(ムンバイ、ソウル、シンガポール、シドニー、東京)
- 欧州(フランクフルト、アイルランド、ロンドン、パリ)
- 南米(サンパウロ)

詳しくは、Amazon OpenSearch Service デベロッパーガイドの Index-level encryption を見てね。

## まとめ

- インデックスごとに専用の KMS カスタマーマネージドキーで暗号化できる
- 新規ドメイン作成時に暗号化モードを `Native` にして有効化する
- OpenSearch 3.3 以降、14 リージョンで利用できる
- 追加料金はなし(KMS と OpenSearch の標準料金は別)

テナントごとにキーを分けたい、マルチテナントの検索基盤を持つみんなに刺さるよ！