はじめに
こんにちは！クラウドアーキテクトの皆さん、そしてセキュリティ担当の皆さん、嬉しいアップデートが届きました。
高精度な音声テキスト化サービスであるAmazon Transcribeにおいて、音声認識のカスタマイズに不可欠な「カスタムリソース」（カスタム語彙、カスタム語彙フィルター、カスタム言語モデル）を、お客様自身が管理するAWS KMS（Key Management Service）の顧客管理型キー（Customer Managed Key: CMK）で暗号化できるようになりました！
これまで「高いセキュリティ要件や業界コンプライアンスの都合上、音声認識のカスタマイズ機能を本番環境で導入しづらかった」というエンタープライズ企業のインフラ・セキュリティエンジニアにとって、待望の機能強化となります。本記事では、このアップデートの概要、メリット、具体的なユースケース、そして注意点を分かりやすく解説します。
この機能の概要とメリット
Amazon Transcribeでは、業界用語や社内用語、固有名詞などを正しく認識させるために、独自の辞書や言語モデルを登録・作成できます。これらは、企業の機密情報や重要なビジネスドメインの知識が含まれる「重要なデータ（資産）」です。
今回のアップデートにより、これらのカスタムリソースを作成・更新する際、独自の対称（Symmetric）AWS KMSキーを指定して暗号化できるようになりました。具体的なメリットは以下の3点です。
- 厳密なアクセス制御の実現：キーポリシー（Key Policy）を使用することで、どのIAMプリンシパル（ユーザー、ロール）やAWSサービスがカスタムリソースを暗号化・復号化できるかを、ユーザー自身で100%コントロール可能になります。
- 確実な監査トレース（CloudTrail連携）：KMSキーがいつ、誰によって使用されたかがすべてAWS CloudTrailにログとして記録されます。これにより、企業のセキュリティコンプライアンス監査に完全に対応できます。
- 主導的なアクセス遮断：セキュリティ侵害などの緊急事態が発生した場合、ユーザー側でKMSキーを無効化（Disable）したり、ポリシーを変更したりすることで、Transcribeリソースへのアクセス権を即座に、かつスケジュールに基づいて剥奪（ローテーション）できます。
想定されるユースケース
この機能は、特に以下のような高いセキュリティ基準を求められる現場で威力を発揮します。
- 金融・医療・公共セクター：「データはすべて自社で管理するKMSキーで暗号化しなければならない」という厳格なポリシー（BYOK: Bring Your Own Key）を課されているプロジェクト。
- コールセンターの音声解析：顧客の個人情報、クレジットカードのブランド名、特定のデリケートな用語をカスタム語彙フィルターとして登録する場合。
- 自社独自のモデル構築：独自の製品名や特許に関係するキーワードをカスタム言語モデルに学習させる場合など、知的財産を強力に保護したいケース。
注意点や従来の機能との違い
今回のアップデートにおける、従来との違いを整理しておきましょう。
| 項目 | 従来の挙動 | 今回のアップデート後 |
|---|---|---|
| 暗号化キーの種類 | AWS所有のキー（AWS owned key） | AWS所有のキー または 顧客管理型キー（CMK） |
| キーポリシーの変更 | 不可 | 可能（ユーザーが自由に変更） |
| CloudTrailでの監査 | 不可（キー使用ログは追跡不可） | 可能（すべての暗号・復号アクションを追跡） |
※なお、KMSキーを明示的に指定しない場合は、これまで通り「AWS所有のキー」で自動的に暗号化されます。オプトイン機能（利用したい場合のみ選択する形式）であるため、既存の構成やリソースには一切影響はありません。
導入時の注意点：適切なキーポリシーの設定
顧客管理型キーを使用する場合、Amazon Transcribeを実行するロールや、リソースを作成するユーザーに対して、KMSキーの使用権限（kms:CreateGrant、kms:Decryptなど）を適切に付与する必要があります。以下に、キーポリシーの設定例（JSON）を示します。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Allow Transcribe to use the key",
"Effect": "Allow",
"Principal": {
"Service": "transcribe.amazonaws.com"
},
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey*",
"kms:DescribeKey",
"kms:CreateGrant"
],
"Resource": "*"
}
]
}まとめ
Amazon Transcribeのカスタムリソースが顧客管理型KMSキーに対応したことで、音声データの文字起こしプロセス全体のセキュリティガバナンスが極めて高いレベルに引き上げられました。
この機能は、Amazon Transcribeが提供されているすべてのAWSリージョンで即座に利用可能です。エンタープライズ領域で文字起こしシステムを構築しているアーキテクトや、インフラのセキュリティ強化を進めているエンジニアの方は、ぜひカスタムリソース作成時のKMSキー指定を検討してみてください！