[アップデート] Amazon Verified Permissions ポリシーストアの保管時暗号化にカスタマーマネージドキーが選択できるようになりました

2026.01.29

いわさです。
Amazon Verified Permissions ではポリシーストアへポリシーを保存します。

これまでこのサービスは、ポリシーなどのすべてのデータを AWS マネージドキーで自動的に暗号化していました。
先日のアップデートでカスタマーマネージドキーを選択できるようになりました。
 ポリシーストア作成時のみ選択が可能今回のアップデートでポリシーストアに暗号化設定が追加されているのでそこで指定するだけです。
注意点があって、既存ポリシーストアに対する暗号化キーの変更はできません。新規ポリシーストア作成時のみカスタマーマネージドキーの設定が可能です。

デフォルトは以前からと同じの AWS マネージドキーを使って暗号化されます。

オプションでカスタマーマネージドキーを選択できます。ここでは既存のキーを選択してみましょう。
この設定、追加の選択が必要でして、既存のキーをそのまま選択するだけだと次のようにエラーとなります。
AccessDeniedException: Service or caller is not authorized to use the provided KMS key, because the resource does not exist in this Region, no resource-based policies allow access, or a resource-based policy explicitly denies access
キーポリシーの設定が必要で、Verified Permissions から KMS キーへのアクセスを許可する必要があります。

必要なポリシーは以下の公式ドキュメントに記載されています。
https://docs.aws.amazon.com/verifiedpermissions/latest/userguide/security-data-protection-cmk.html
キーポリシー設定後、ポリシーストアが作成できるようになりました。
 確認方法なお、ポリシーストアごとの暗号キー設定ですが本日時点ではマネジメントコンソールからは確認が出来ませんでした。

ただし、AWS CLI であれば確認が可能です。
https://github.com/aws/aws-cli/commit/a220ab958493ad5a52289d964546d66538ee7711
% aws verifiedpermissions get-policy-store --policy-store-id VNXujdHFh4tkq1L7eEvYJJ
{
    "policyStoreId": "VNXujdHFh4tkq1L7eEvYJJ",
    "arn": "arn:aws:verifiedpermissions::123456789012:policy-store/VNXujdHFh4tkq1L7eEvYJJ",
    "validationSettings": {
        "mode": "STRICT"
    },
    "createdDate": "2026-01-29T00:08:20.836711+00:00",
    "lastUpdatedDate": "2026-01-29T00:08:20.836711+00:00",
    "description": "hoge0129vp",
    "deletionProtection": "ENABLED",
    "encryptionState": {
        "kmsEncryptionState": {
            "key": "arn:aws:kms:ap-northeast-1:123456789012:key/88a7256f-05a8-485f-8ddb-6af6cd05aabe",
            "encryptionContext": {
                "aws:verifiedpermissions:policy-store-arn": "arn:aws:verifiedpermissions::123456789012:policy-store/VNXujdHFh4tkq1L7eEvYJJ"
            }
        }
    },
    "cedarVersion": "CEDAR_4"
}
 さいごに本日は Amazon Verified Permissions ポリシーストアの保管時暗号化にカスタマーマネージドキーが選択できるようになったので確認してみました。
今回のアップデートで暗号化キーの要件を満たしやすくなりますね。

キーポリシーの設定だけ気をつけましょう。