はじめに
こんにちは！クラウドアーキテクト兼技術ブロガーです。企業の音声認識システム構築で大活躍する「Amazon Transcribe」を使っているエンジニアの皆さんに、非常に重要なセキュリティアップデート情報をお届けします。
Amazon Transcribeにおいて、これまでAWS側で管理されていた暗号化キーに加え、お客様自身が所有・制御するAWS KMS（Key Management Service）のカスタマー管理キー（CMK）を使用して、カスタムリソースを保管時に暗号化できるようになりました！
本記事では、このアップデートの概要やメリット、実務におけるユースケースと実装時の注意点について詳しく解説します。
この機能の概要とメリット
Amazon Transcribeでは、業界用語や社内の専門用語を認識しやすくする「カスタム語彙（Custom Vocabularies）」や「カスタム語彙フィルター（Custom Vocabulary Filters）」、独自のドメインに特化した「カスタム言語モデル（Custom Language Models）」などのカスタムリソースを作成できます。
これまでは、これらのリソースはすべて「AWS所有のキー（AWS owned key）」によって保管時に自動暗号化されていました。しかし今回のアップデートにより、リソースの作成時または更新時にお客様が用意した対称（Symmetric）AWS KMSキーを指定可能になりました。
主なメリット
- きめ細かなアクセス制御： KMSキーのポリシーを設定することで、どのIAMユーザーやロール、AWSサービスがカスタムリソースを暗号化・復号できるかを自社で厳密に制御できます。
- 完璧な監査トレース（AWS CloudTrail連携）： カスタマー管理キーの使用履歴は、すべてAWS CloudTrailにログ記録されます。コンプライアンス監査において、「いつ、誰がカスタムリソースにアクセスしたか」を完全に証明可能です。
- 迅速なアクセス権の剥奪： セキュリティ上の緊急事態が発生した場合、対象のKMSキーを無効化（Disable）するだけで、Transcribeによるデータへのアクセスを即座にブロックできます。
想定されるユースケース
この機能は、特に以下のような高いセキュリティ基準や規制準拠が求められる環境で非常に役立ちます。
- 金融・医療・公共セクターでの導入： PCI-DSSやHIPAA、FISCなどの厳格なデータセキュリティ規制を遵守する必要があり、暗号化キーを自社でライフサイクル管理・監査しなければならない場合。
- エンタープライズのマルチテナント運用： SaaSなどのシステムにおいて、顧客（テナント）ごとに暗号化キーを分離して管理し、データ境界を明確化したい場合。
- 機密性の高いデータの保護： 顧客の個人情報（PII）や機密性の高い企業秘密が含まれる可能性のあるカスタム語彙データを厳重に保護したい場合。
注意点や従来の機能との違い
従来の機能との違い
今回のアップデートに伴う暗号化方式の違いは以下の通りです。
| 項目 | 従来の暗号化（AWS owned key） | 新しい暗号化（Customer Managed Key） |
|---|---|---|
| キーの所有者 | AWS | お客様自身 |
| ポリシー制御 | 不可（AWSが管理） | 可能（キーポリシーやIAMで設定可能） |
| CloudTrailログ | 記録されない | 詳細にログ記録される（監査可能） |
| キーの無効化・ローテーション | 不可 | お客様のスケジュールでいつでも可能 |
注意点：キーポリシーの設定が必要
カスタムリソースを作成する際にカスタマー管理キーを指定する場合、Amazon Transcribeのサービスプリンシパル（transcribe.amazonaws.com）が対象のKMSキーを使用できるように、キーポリシーを事前に構成しておく必要があります。
以下は、Amazon Transcribeにキーの使用権限を付与するためのKMSキーポリシー（JSON）の例です。
{
"Sid": "Allow Amazon Transcribe to use the key",
"Effect": "Allow",
"Principal": {
"Service": "transcribe.amazonaws.com"
},
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey*"
],
"Resource": "*"
}※なお、キーを指定しない（オプトインしない）場合は、従来通り「AWS所有のキー」で暗号化されるため、既存のワークフローへの影響はありません。
まとめ
Amazon Transcribeのカスタムリソース（カスタム語彙・フィルター・言語モデル）がカスタマー管理のKMSキーに対応したことで、音声データのカスタマイズ処理におけるデータガバナンスとセキュリティが一段と強化されました。
特にエンタープライズシステムを設計するクラウドアーキテクトの皆さんにとっては、セキュリティ要件をクリアするための強力な武器になります。新規リソースの作成や既存システムのセキュリティ見直しの際には、ぜひこのKMSキー連携機能の導入を検討してみてください！