[アップデート] ついに来たか！Amazon Macie が東京リージョンでも利用可能になって、さらに80％以上お安くなりました！

ついに Amazon Macie が東京に上陸。そして値下げは正義。

#Amazon S3

#セキュリティ

#Amazon Macie

#AWS

丸毛篤史

2020.05.14

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

本日のアップデートで Amazon Macie が東京リージョンでも利用可能になり、かつ料金モデルが改定されて 80%〜90% の大幅な値下げとなっています！

Announcing major enhancements to Amazon Macie, an 80%+ price reduction, and global region expansion

今回のアップデートは単なるリージョン追加と価格改定というよりも、Amazon Macie のサービス内容のデザインが刷新されたようですね。

何が変わった？

従来の Amazon Macie と比較してどのような点が変わったか、ざっくりまとめます。

機能

以下のような機能が追加されています

個人識別情報（PII）を検出するための機械学習モデルの更新され、正規表現を使ったカスタム識別子が利用可能
AWS Organizations によるマルチアカウントのサポート
AWS SDK および AWS CLI でサービスをプログラム的に使用するための API を完全にカバー
17 リージョンで利用可能（東京でも利用かのうになりました）
シンプルになった新しい無料枠と 30 日間のお試し期間でコストを把握できるようになりました
再設計されたコンソールとユーザーエクスペリエンス

一方で、CloudTrail と連携したデータアクセスの異常検出は Amazon Macie から除外されたようです。個人的にココが大注目なのですが、今後、S3 の異常アクセス検出は GuardDuty で利用できるようになるのでしょうか？（GuardDuty の機能として、プライベートベータで提供されているらしいのですが、この情報を見た記憶がありません、、）

The anomaly detection features monitoring S3 data access activity previously available in Macie are now in private beta as part of Amazon GuardDuty, and have been enhanced to include deeper capabilities to protect your data in S3.

今後、GuardDuty のアップデートにも注目ですね！

料金プラン

先述のとおり CloudTrail イベントと連携した機能が除外されたことで、料金プランは「アカウント内の S3 バケット数」と「機密データ検出のために処理されたデータ量」の 2 タイプになり非常にシンプルになりました。

そして何より安い！従来はデータ処理量に対する課金が 一律 $5/GB （バージニア・リージョン）でしたが、新プランでは $0.31/GB 〜 $1.25/GB （東京・リージョン）と大幅に安くなっています。従来の料金プランだと、データレイクのような大きなバケットで Amazon Macie を使うと、なかなかの料金になっていましたがコレは非常に嬉しいですね。

アカウント内の S3 バケット数

アカウント内の S3 バケット数	価格
評価されたS3バケットの数/月	$0.10/バケット

料金は日割り計算されます

機密データ検出のために処理されたデータ量

機密データ検出のために処理されたデータ量	価格
最初の 1 GB/月	無料
〜 50,000 GB/月	$1.25/GB
次の 450,000 GB/月	$0.63/GB
500,000 GB以上/月	$0.31/GB

いずれも東京リージョンでの価格です。最新情報は公式の価格表を参照ください。

従来の Macie は Macie Classic という名前に変わっているようですね。

Amazon Macie Classic

従来の Amazon Macie はこのタイミングで Amazon Macie Classic と改名されているようですね。こちらの対応リージョンは変わっていないので、東京リージョンでは利用できません。

公式ガイドも Amazon Macie と Amazon Macie Classic で分けられているのでご注意ください。

注意点

個人識別情報(PII)については、日本の運転免許証などは未対応のようです。新しい製品ページ（en）を見ても、特に対応言語についての言及はありませんが、まだ日本語には対応していないのかもしれませんね。ユーザーからの強いフィードバックが AWS サービスの機能改善へとつながりますので、ここはユーザーがどんどん声をあげていただくのが良いかと思います。

やってみる

それでは新しくなった Amazon Macie を試してみましょう。サービス一覧より Amazon Macie を開くと東京リージョンで利用可能になっていますね。Get started をクリックします。

Amazon Macie を有効するにあたってサービスに S3 のアクセス権限等を与える必要があります。作成されるサービスロール AWSServiceRoleForAmazonMacie の内容は下記のとおりです。これらに権限を与えることに同意する場合は Macie を有効化 をクリックします。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Resource": "*",
      "Action": [
        "cloudtrail:DescribeTrails",
        "cloudtrail:GetEventSelectors",
        "cloudtrail:GetTrailStatus",
        "cloudtrail:ListTags",
        "cloudtrail:LookupEvents",
        "iam:ListAccountAliases",
        "s3:Get*",
        "s3:List*"
      ]
    },
    {
      "Effect": "Allow",
      "Resource": "arn:aws:cloudtrail:*:*:trail/AWSMacieTrail-DO-NOT-EDIT",
      "Action": [
        "cloudtrail:CreateTrail",
        "cloudtrail:StartLogging",
        "cloudtrail:StopLogging",
        "cloudtrail:UpdateTrail",
        "cloudtrail:DeleteTrail",
        "cloudtrail:PutEventSelectors"
      ]
    },
    {
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::awsmacie-*",
        "arn:aws:s3:::awsmacietrail-*",
        "arn:aws:s3:::*-awsmacietrail-*"
      ],
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucket",
        "s3:DeleteBucketPolicy",
        "s3:DeleteBucketWebsite",
        "s3:DeleteObject",
        "s3:DeleteObjectTagging",
        "s3:DeleteObjectVersion",
        "s3:DeleteObjectVersionTagging",
        "s3:DeleteReplicationConfiguration",
        "s3:PutBucketPolicy"
      ]
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "macie.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole"
      ]
    }
  ]
}

これまで Macie はオリジナルなコンソールデザインでしたが、今回のアップデートでよくみる AWS サービスの管理コンソールになっていますね。S3 バケットのサマリーが表示されていて暗号化設定やパブリックアクセスの設定状況が一目瞭然です。

例えば 暗号化されてない ところのリンクをクリックすると対象バケットの一覧が確認できます。

次に機密データ検出するためにジョブを作成します。左ペインの S3 バケット を開き、対象となるバケットを選択し ジョブを作成 をクリックします。

S3 バケットの対象に変更なければ次へをクリックします。

次にスコープを設定します。今回はワンタイムジョブを指定していますが、スケジュール指定も可能です。スケジュール実行の際には、既存オブジェクトの扱いを選択できます。

サンプリング深度は、ジョブが分析する対象オブジェクトの割合を決定します。値が 100 未満の場合、Amazon Macie は指定されたパーセンテージまで、ランダムに分析するオブジェクトを選択します。その他にもタグや、最終変更日、ファイル拡張子、オブジェクトサイズを条件に対象設定できるようになっています。

Amazon Macie の料金プランは処理されたデータ量によって課金が発生しますので、データの特性によって正しく除外することで無駄な課金を抑えることができますので利用の際にはよく検討ください。