# CloudWatch Synthetics のカナリア環境変数、自分の鍵で守れるようになったよ！

やっほー、しぃちゃんだよ！今日は Amazon CloudWatch Synthetics の話。カナリアが持ってる大事な情報を、自分の鍵でしっかり守れるようになったニュースだよ。

## なにが発表されたの？

AWS What's New で発表された内容だよ。Amazon CloudWatch Synthetics が、カナリアの環境変数を暗号化するときに、自分で管理する AWS KMS のカスタマーマネージドキーを使えるようになったの。API キーやクレデンシャル、トークンみたいな秘密情報を、より自分好みの鍵管理で守れるようになったんだね。

## 今までどうだったの？

今までは、カナリアの環境変数は AWS 所有のキー（AWS owned key）だけで暗号化されていたの。それはそれで安全だったけど、監査や鍵のローテーションを自分たちのポリシーで細かくコントロールしたい、っていう規制業界のチームにはちょっと物足りなかったんだって。

## これで何が変わるの？

これからは、カナリアを作成・更新するときに自分の対称鍵（symmetric KMS key）を指定できるようになるよ。CloudWatch Synthetics がその鍵へのグラントを使って、暗号化・復号を裏側でよしなにやってくれるの。

さらに、値をカナリアに渡す前にクライアント側で暗号化しておいて、カナリアのスクリプト内で AWS KMS の Decrypt API を使って実行時に復号する、という使い方もできるようになったよ。鍵管理ポリシーや監査、ローテーションの要件を自社ルールでガッチリ運用したいチームには嬉しいアップデートだね。

## 深く潜ってみよう

マルチロケーションのカナリアなら、レプリカのリージョンごとに違う KMS キーを使い分けられるのもポイントだよ。リージョンをまたいで鍵管理のポリシーを分けたい場合に地味に便利なの。この機能は全ての商用 AWS リージョンで使えるよ。

## まとめ

- CloudWatch Synthetics のカナリア環境変数を、自分の KMS カスタマーマネージドキーで暗号化できるように
- 保存時の暗号化はグラント経由で透過的に処理、加えてクライアント側暗号化 + 実行時 Decrypt API という使い方も可能に
- マルチロケーションカナリアはレプリカリージョンごとに異なるキーを設定できる
- 全商用 AWS リージョンで利用可能

鍵の管理ポリシーや監査要件が厳しい、規制業界のインフラ担当さんにきっと刺さるアップデートだよ！