AWS Glue 機械学習変換の保管時暗号化の手順
このブログシリーズ 「クラウドセキュリティ 実践集」 では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」 というリスクの解説から、 「どうやって直すのか？」 という具体的な修復手順（コンソール、AWS CLI、Terraformなど）まで、分かりやすく解説します。
この記事では、AWS Glue 機械学習変換は保管時に暗号化する必要がありますについて、リスクと対策を解説します。
ポリシーの説明
AWS Glue の機械学習変換（ML Transforms）は、重複レコードの検出や正規化を行うための機能ですが、これらの変換で使用される学習済みモデル、ラベルセット、メタデータが暗号化されていない場合、機密データが露出するリスクがあります。ML変換の暗号化を有効にすることで、ビジネスロジックやデータパターンを含む機密情報を保護し、コンプライアンス要件を満たすことができます。
修復方法
コンソールでの修復手順
重要: 既存のML変換に対して暗号化設定を後から変更することはできません。暗号化を有効にするには、新しいML変換を作成する必要があります。
新規ML変換の作成手順：
- AWS管理コンソールにログインし、AWS Glueコンソール（https://console.aws.amazon.com/glue/）にアクセス
- ナビゲーションペインで「Record Matching」→「Record Matching」を選択
- セキュリティ設定の作成（まだ作成していない場合）：
- 「セキュリティ設定」に移動
- 「セキュリティ設定の追加」をクリック
- 暗号化オプションを設定：
- S3暗号化：「SSE-KMS」を選択
- CloudWatchログ：SSE-KMSを有効化
- ジョブのブックマーク：CSE-KMSを有効化
- KMSキーを選択またはARNを入力
最後に
この記事では、AWS Glueの機械学習変換における保管時暗号化の重要性と実装方法を解説しました。
ML変換には企業の重要なビジネスロジックやデータパターンが含まれており、これらを適切に保護することは必須です。特に、FindMatchesアルゴリズムを使用した重複検出や正規化処理では、学習データに機密情報が含まれることが多いため、暗号化による保護が不可欠です。
重要なポイント：
- 既存のML変換は暗号化できないため、新規作成時に必ず暗号化を有効化する
- セキュリティ設定を通じて包括的な暗号化を実装する
- IAMロールにKMS権限を適切に付与する
- 定期的な監査とモニタリングを実施する
この問題の検出は弊社が提供するSecurifyのCSPM機能で簡単に検出及び管理する事が可能です。 運用が非常に楽に出来る製品になっていますので、ぜひ興味がある方はお問い合わせお待ちしております。 最後までお読みいただきありがとうございました。この記事が皆さんの役に立てば幸いです。
