SageMaker MLflow が自分の鍵で暗号化できるようになったよ！

みんな、しぃちゃんだよ！今日は機械学習の実験管理を、自分の鍵でしっかり守れるようになったニュースだよ。セキュリティ担当のみんなにとっては見逃せない話かも。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS What's New から、SageMaker MLflow がカスタマー管理キー（Customer Managed Keys, CMK）による暗号化に対応したよ、というお知らせだよ。AWS Key Management Service（KMS）を通じて、自分で用意した鍵でデータを暗号化できるようになったの。

なぜ重要なの？

これまでも SageMaker MLflow はデータを暗号化していたけれど、鍵の管理は AWS 側に任せる形だったの。でも組織によっては、コンプライアンスやセキュリティのポリシー上「暗号鍵は自分たちで管理したい」という要件があるよね。今回のアップデートは、まさにそういう厳格なセキュリティ・コンプライアンス要件を持つ組織のためのものなの。

これで何が変わるの？

カスタマー管理キーを使うと、次のようなことができるようになるよ。

• 自分の KMS キーで MLflow のデータを暗号化する
• AWS CloudTrail との統合で、データアクセスをすべて追跡できる

つまり、暗号化の主導権を自分の手元に置きつつ、誰がいつデータにアクセスしたかを監査ログとして残せるということだね。実験管理ツールに機密性の高いデータを載せている組織にとっては、安心材料が増える形だよ。

深く潜ってみよう

利用にあたっては、いくつか押さえておきたい制約があるよ。

• カスタマー管理キーは、MLflow App と 同じ AWS アカウント・同じリージョン で作成しておく必要がある
• 対応しているのは 対称鍵（symmetric）の AWS KMS キー のみ

この機能は、MLflow App が使えるすべての AWS リージョンで一般提供（GA）されているよ。詳しい設定方法は SageMaker MLflow の詳細ページで確認できるの。

まとめ

• SageMaker MLflow が、AWS KMS によるカスタマー管理キー（CMK）暗号化に対応した
• 自分の鍵でデータを暗号化しつつ、CloudTrail でアクセス履歴を監査できる
• キーは MLflow App と同じアカウント・リージョンの対称 KMS キーのみ対応
• MLflow App が使えるすべてのリージョンで利用可能
• セキュリティ・コンプライアンス要件が厳しい組織にとって嬉しいアップデートだよ