[アップデート] AWS Step FunctionsがCMKをサポートしました

分散アプリケーションを構築できるAWS Step Functionsが、Customer Managed Keys（CMK）を使用した暗号化をサポートしました。

https://aws.amazon.com/jp/about-aws/whats-new/2024/07/aws-step-functions-customer-managed-keys/

新しい暗号化オプションが追加

まず勘違いしてはいけないのは、今回のアップデート以前から、Step Functionsの各リソースは暗号化されています。その際の暗号化はAWS所有のキーを使用します。

CMKを使用することで、ポリシーの細かい制御やキーローテーションの制御などが可能です。ただし、CMKを作成すると月$1の費用がかかります。AWS所有のキーは無料ですので、想定外のコストとならないよう気をつけてください。

権限設定の注意

CMKを使用することで細かい権限設定ができます。逆にいえば、きちんと設定しなければ意図せず権限不足となる可能性があります。特にCloudWatch Logsや統合ログサービスの権限が不足しているとログが出ないため気をつけましょう。必要な権限については次のドキュメントにまとまっています。使用する際には確認しましょう。

https://docs.aws.amazon.com/step-functions/latest/dg/encryption-at-rest.html

まとめ

Step Functionsのリソース暗号化に新しいオプションが追加されました。ただし導入するとCMKの運用も必要となりますので、使用する際には検討をしてください。