DAX Clusterの暗号化を有効化してキャッシュデータを保護する手順

2025.08.25

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、AWS CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、DAX Clusterの暗号化を有効化してキャッシュデータを保護する手順について、リスクと対策を解説します。

ポリシーの説明

DynamoDB Accelerator (DAX) は、Amazon DynamoDB専用のフルマネージドインメモリキャッシュサービスで、マイクロ秒単位のレイテンシーを実現します。DAXクラスターの保管時暗号化（Server-Side Encryption at Rest）を有効にすることで、ディスクに書き込まれるすべてのデータがAES-256暗号化アルゴリズムにより保護されます。これにはキャッシュデータ、設定情報、ログファイル、スワップファイルなど、DAXクラスターが管理するすべてのデータが含まれます。

修復方法

重要な制限事項

既存のDAXクラスターでは暗号化を後から有効化することはできません。 暗号化はクラスター作成時にのみ設定可能で、一度作成されたクラスターの暗号化設定を変更することはできません。暗号化を有効にするには、新しいDAXクラスターを作成し、アプリケーションを移行する必要があります。

コンソールでの修復手順

AWSのコンソールを使用して、暗号化が有効なDAXクラスターを作成します。

ステップ1: DynamoDBコンソールにアクセス

AWSマネジメントコンソールにログイン
「DynamoDB」サービスに移動
左側のナビゲーションペインから「DAX」を選択

ステップ2: 新しいDAXクラスターの作成

「クラスターの作成」ボタンをクリック
基本設定を入力：
- クラスター名：意味のある名前を入力（例：my-encrypted-dax-cluster）
- クラスターの説明：任意で説明を追加
- ノードタイプ：ワークロードに適したインスタンスタイプを選択

ステップ3: 暗号化の有効化

「詳細設定」セクションまでスクロール
「保管時の暗号化」オプションを見つける
「暗号化を有効にする」チェックボックスをオン
- デフォルトでAWS管理キー（aws/dax）が使用されます
- カスタマー管理KMSキー（CMK）は現在サポートされていません
- 注意: この設定はクラスター作成後に変更できません

ステップ4: ネットワーク設定

サブネットグループを選択または作成
セキュリティグループを設定（必要なポートのみ開放）
パラメータグループを選択（デフォルトまたはカスタム）

ステップ5: クラスターの作成と確認

「クラスターの作成」をクリック
クラスターのステータスが「Available」になるまで待機（約10-15分）
作成後、クラスターの詳細ページで暗号化が有効になっていることを確認

Terraformでの修復手順

TerraformでDAXクラスターの暗号化を有効化については server_side_encryption のフラグを有効化すればよいです。


# 暗号化が有効なDAXクラスターの作成
resource "aws_dax_cluster" "encrypted_cluster" {
  >>>> Skip
  # 暗号化設定 - 最も重要な設定
  server_side_encryption {
    enabled = true  # 暗号化を有効化
  }
}

最後に

この記事では、DAX Clusterの暗号化を有効化してキャッシュデータを保護する手順について、包括的なリスク分析と具体的な修復方法を解説しました。

DAXクラスターの暗号化は、キャッシュされた機密データを物理的な脅威から保護し、HIPAA、PCI DSS、GDPRなどのコンプライアンス要件を満たすために不可欠です。既存クラスターでは後から暗号化を有効化できないという制限があるため、新規クラスター作成時に必ず暗号化を有効にすることを強く推奨します。

この問題の検出は弊社が提供するSecurifyのCSPM機能で簡単に検出及び管理する事が可能です。運用が非常に楽に出来る製品になっていますので、ぜひ興味がある方はお問い合わせお待ちしております。最後までお読みいただきありがとうございました。この記事が皆さんの役に立てば幸いです。