[アップデート]ECS on Fargateがカスタマー管理キーによるエフェメラルストレージ暗号化に対応しました！

高いセキュリティ要件が求められるワークロードを実行しているあなたへ。

#AWS Fargate

#Amazon ECS

#AWS Key Management Service（KMS）

#AWS

トクヤマシュン

2024.06.12

こんにちは。AWS事業本部トクヤマシュンです。

Amazon ECS on Fargate でカスタマー管理キー（Customer Managed Key）を用いてエフェメラルストレージに保存されるデータを暗号化できるようになりました。すべての商用リージョンですでに利用可能です。

本ブログではこちらのアップデート内容の紹介と、実際の設定方法についてご紹介します。

アップデート内容

Fargateのエフェメラルストレージはデフォルトで暗号化されますが、これまでこの暗号化に利用可能なキーはAWS管理キーのみでした。今回のアップデートで、カスタマー管理キーも暗号化に利用できるようになりました。

機密データを扱うアプリケーションを実行する場合など、セキュリティ要件として、自社が所有する鍵を使った暗号化が求められることもあるかと思います。そのようなワークロードを運用している方には嬉しいサービスです。

例えばS3バケットの暗号化方式としてSSE-S3ではなくSSE-KMSを利用している方は、本サービスの利用を検討いただいてもよいのではないかな、と思います。

本機能の設定はECSクラスター単位で行います。
カスタマー管理キーによる暗号化の指定はクラスターの新規作成時だけではなく、既存のクラスターを更新することでも設定可能です。

利用の前提

本機能の利用において、下記のような前提がありますのでご注意ください。

Windowsタスクを実行するクラスターでは利用不可
プラットフォームバージョンが1.4.0よりも前の場合は利用不可

実際に動かしてみる

それでは、本アップデートについてマネジメントコンソールから設定してみます。

初期状態

初めに、下記のようなECSクラスターが存在するとします。

暗号化の設定項目にFargateエフェメラルストレージが増えていますね。カスタマー管理キーの設定をしてないので、「-」と表示されています。

クラスター内では1つのサービスが存在し、タスクが1つ立ち上がっています。
このタスクを確認すると、Fargateエフェメラルストレージの暗号化がAWS管理キーによるデフォルト暗号化であることが分かります。

これをカスタマー管理キーによる暗号化に変更します。

カスタマー管理キーの作成

まず、暗号化で利用するカスタマー管理キーを作成します。
設定の詳細はこちらのユーザーガイドをご覧ください。

ここではマネージメントコンソールから実際の作成を行っていきます。 AWS Key Management Service のトップ画面から「キーの作成」ボタンをクリックします。

ステップ1ではキーの設定を行います。
今回はデフォルト設定のまま「次へ」ボタンをクリックします。

ステップ2ではラベルの追加を行います。エイリアスに「fargate-ephemeral-storage-key」を設定し、「次へ」ボタンをクリックします。

ステップ3ではキーの管理アクセス許可を定義しますが、とくに追加設定は行わずデフォルト設定のまま「次へ」ボタンをクリックします。

ステップ4ではキーの使用アクセス許可を定義しますが、こちらも追加設定は行わずデフォルト設定のまま「次へ」ボタンをクリックします。

ステップ5は確認画面ですが、ここではキーポリシーを直接編集します。ユーザーガイドにあるように、キーポリシーで下記のような許可が必要です。

FargateサービスへのGenerateDataKeyWithoutPlainTextの実行許可
FargateサービスへのCreateGrantの実行許可
暗号化を設定するユーザーへのDescribeKey実行許可
- KMSのコンソールから設定する場合、デフォルト設定（ "Sid": "Enable IAM User Permissions"の設定）でカバーされる

下記にキーポリシーの例を示します。<暗号化対象クラスター名>と<AWSアカウントID>はご自身のものに置き換えてください。


{
    "Version": "2012-10-17",
    "Id": "key-consolepolicy-3",
    "Statement": [
        {
            "Sid": "Allow generate data key access for Fargate tasks.",
            "Effect": "Allow",
            "Principal": {
                "Service": "fargate.amazonaws.com"
            },
            "Action": "kms:GenerateDataKeyWithoutPlaintext",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:ecs:clusterName": "<暗号化対象クラスター名>",
                    "kms:EncryptionContext:aws:ecs:clusterAccount": "<AWSアカウントID>"
                }
            }
        },
        {
            "Sid": "Allow grant creation permission for Fargate tasks.",
            "Effect": "Allow",
            "Principal": {
                "Service": "fargate.amazonaws.com"
            },
            "Action": "kms:CreateGrant",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:ecs:clusterName": "<暗号化対象クラスター名>",
                    "kms:EncryptionContext:aws:ecs:clusterAccount": "<AWSアカウントID>"
                },
                "ForAllValues:StringEquals": {
                    "kms:GrantOperations": "Decrypt"
                }
            }
        },
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<AWSアカウントID>:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        }
    ]
}