[アップデート] Amazon Redshift デフォルトの動作変更によりセキュリティを強化

AWS事業本部コンサルティング部の石川です。2025年1月10日以降、Amazon Redshiftは3つの重要なセキュリティ強化を実施します。これらの変更は、データセキュリティのベストプラクティスを促進し、潜在的な設定ミスのリスクを軽減することを目的としています。

https://aws.amazon.com/jp/about-aws/whats-new/2024/11/amazon-redshift-enhance-security-default-behavior/

デフォルト動作の変更点

パブリックアクセシビリティの無効化

新しく作成されるプロビジョニングクラスターおよびスナップショットから復元されるクラスターでは、デフォルトでパブリックアクセシビリティが無効になります。これにより、同じVPC内のクライアントアプリケーションからのみクラスターへの接続が許可されるようになります。

データベース暗号化の自動有効化

プロビジョニングクラスターに対して、デフォルトでデータベース暗号化が有効になります。KMSキーを指定せずにクラスターを作成した場合、AWS所有のキーを使用して自動的に暗号化されます。

SSL接続の強制

新しく作成されるプロビジョニングクラスターおよび復元されたデータウェアハウス、さらに新しいサーバーレスワークグループに対して、デフォルトでSSL接続が強制されます。

対応が必要な事項

設定の見直し

データウェアハウスの作成設定、スクリプト、ツールを確認し、新しいデフォルト設定に合わせて必要な変更を行ってください。

既存のデータウェアハウス

直接の影響はありませんが、セキュリティ態勢をさらに強化するために、新しいデフォルトセキュリティ設定に合わせて構成を更新することをお勧めします。

期限

2025年1月10日までに必要な変更を完了させ、潜在的な混乱を避けてください。

重要なポイント

• これらの変更は、Amazon Redshiftが利用可能なすべてのAWSリージョンで実施されます。
• クラスターまたはワークグループの設定を変更して、デフォルトの動作を変更することは引き続き可能です。

最後に

今回のアップデートは、どれも納得のアップデートです。AWSCLIでaws redshift restore-from-cluster-snapshot で--no-publicly-accessibleを指定しないがために、public accessになった痛い思い出があります。また、データベース暗号化の自動有効化しなかったためにRedshift Serverlessとデータ共有できなかった悲しい思い出もあります。「SSL接続」が強制になるということは、パラメータグループのdefault.redshift-1.0がついにバージョンアップするのかな？なんて思いを馳せてます。

このセキュリティ強化により、AWSはクラウドサービスの安全性をさらに高め、顧客のデータ保護を強化します。新しいデフォルト設定に適応することで、より堅牢なセキュリティ体制を構築できるでしょう。