[アップデート] Amazon QuickSight でデータストア設定情報も KMS カスタマーマネージドキーを使うことが出来るようになりました

いわさです。

Amazon QuickSight では SPICE データセットの暗号化に KMS が使われているのですが、カスタマーマネージドキーを使うことが出来ます。

https://dev.classmethod.jp/articles/amazon-quicksight-spice-kms-cmk/

QuickSight にはデータセットの他にデータソースという概念もあります。
データセットを作成するためにはデータソースが必要で、例えば RDS や S3 や Athena などデータセットを作成するためのデータを提供するデータストアを指しています。

このデータソースを作成する際に、例えば RDS であれば接続情報などを入力するのですがこれらのセキュアな情報も KMS の AWS マネージドキーで従来から暗号化されていました。
先日のアップデートでデータソースについてもカスタマーマネージドキーを使うことが出来るようになりました。

https://aws.amazon.com/about-aws/whats-new/2024/08/amazon-quicksight-cmk-data-source-information/

QuickSight の場合だと、カスタマーマネージドキーを使うことでデータ破棄要件などに対応出来る場合があるのですが、データセットだけでなくデータソース設定についてもコントロール出来るようになりました。

QuickSight で KMS を設定しておくと自動で使われる

使い方ですが、QuickSight の管理機能で従来から KMS 管理機能がありまして、KMS キーを関連付けることが出来ました。
こちらを有効化することで、あるタイミングから自動でデフォルトキーがデータソース情報の暗号化や復号化に使われています。

厳密にタイミングはわからないですが、このアップデートが公開された 8 月 15 日直後では動作が確認出来ず、しばらく時間を置いたこのタイミングで動作を確認することが出来ました。
新規データソースの作成、あるいは既存データソースの編集時に KMS キー情報が反映されるようなので、既存データソースに反映したい場合はデータソース編集から試してみてください。

今回は上記のように KMS キーを設定した上で、新規データソースを作成してみましょう。

データソースを作成してみる

何でも良さそうですが、RDS MySQL を作成してこいつをデータソースとして使ってみます。

QuickSight でデータセットを新規作成します。
既存データソースを指定せずに、RDS を指定することで新しいデータソースの作成から始まります。

上記で接続情報を入力しました。ここで「データソースを作成」ボタンを押すとデータソースが作成されます。
このままデータセットの作成にも進むのですが、そこでキャンセルしてもデータセット作成は行われないのですがデータソース自体は完了しています。

データソースを使ってみる

で、作成されたデータソースを使ってみましょう。
またデータセットの新規作成を行うのですが、今度は既存データソースからデータセットを作成してみます。先ほど作ったやつを指定します。

今度はデータソースの作成（接続情報の入力）は無しでデータセット作成画面に進みましたね。
接続情報などはデータソースとして保存されているのです。この時に KMS を使って接続情報が暗号化されており、データセット作成などで展開する時には復号化されます。

KMS を使った暗号化・復号化についてですが、CloudTrail から確認することが出来ます。
先ほどデータセットの作成を試みようとしたタイミングで Desrypt (復号) イベントが発生しています。

イベントレコードの詳細を確認してみると、userIdentityが QuickSight になってますね。
QuickSight の内部処理によって復号化が行われています。

キーを無効化してみる

ユーザーマネージドなキーが使われているということで AWS マネージドキーと異なってユーザーが好きなタイミングで無効化や削除を行うことが出来ます。
早速キーを無効化してみましょう。

再びデータソースからデータセットを作成しようとしてみたところ次のようにデータソースを利用することが出来ませんでした。良いですね！

さいごに

本日は Amazon QuickSight でデータストア設定情報も KMS カスタマーマネージドキーを使うことが出来るようになったので使ってみました。

従来はデータセット（SPICE）までカスタマーマネージドキーを使うことが出来ていましたが、今回のアップデートでデータソースにも適用出来るようになりました。
このアップデートが来るまで気が付かなかったのですが、確かにシークレットが含まれる場合もありますし、鍵を使って保護出来るとありがたい範囲ですね。