Amazon MSK が転送中のデータの暗号化で TLS 1.3 をサポート
Amazon MSK は、暗号化ポリシーを使用することで、MSK Provisioned クラスターで Transport Layer Security (TLS) プロトコルのバージョン 1.3 をサポートするようになりました。TLS 1.3 は、ストリーミングデータに対して、より高速で安全性の高い暗号化を提供します。また、コンプライアンスフレームワークや企業のセキュリティ基準で、TLS 1.3 が求められるケースが増えています。また、TLS 1.3 は、ポスト量子暗号を利用するための前提条件の 1 つでもあります。ポスト量子暗号は、暗号化された通信データを今収集し、将来復号しようとする攻撃への対策となります。
MSK クラスターの設定で名前付きセキュリティポリシーを選択すると、TLS 1.3 を有効にできます。既存のクラスターは、ポリシーが適用されるまで変更されません。名前付きセキュリティポリシーは、クラスターが受け入れ可能な TLS バージョンと暗号スイートを指定します。今回のリリースでは、Amazon MSK で複数のセキュリティポリシーから選択できるようになりました。選択したポリシーの要件を満たさない接続は拒否されます。これにより、お客様は自社のセキュリティとコンプライアンスの体制を主体的に管理できます。TLS 1.2 と TLS 1.3 の両方をサポートするポリシーでは、クライアントが対応している最も高い TLS バージョンで接続するようネゴシエーションが行われます。そのため、TLS 1.3 対応クライアントはすぐに TLS 1.3 で接続できる一方、TLS 1.2 のみをサポートするクライアントも引き続き TLS 1.2 で接続できます。これにより、お客様はより厳格なポリシーを適用する前に、自社のペースでクライアントをアップグレードできます。また、お客様は、自社のコンプライアンス要件に合わせて、TLS 1.3 での接続のみを許可する、より厳格なポリシーを選択できます。
この機能は、Amazon MSK Provisioned が利用可能なすべての AWS リージョンで、追加料金なしで利用できます。詳細については、Amazon MSK のドキュメントをご覧ください。