AWS Advanced JDBC Wrapperがクライアントサイド暗号化を提供開始
ID 4826
GUID d45ffa52e8aba2f125ab77661d5290760199397c
発表日(JST)
要約生成日時(JST)
タイトル AWS Advanced JDBC Wrapperがクライアントサイド暗号化を提供開始
詳細リンク https://aws.amazon.com/about-aws/whats-new/2026/05/aws-advanced-jdbc-wrapper-encryption/
カテゴリ
  • amazon-rds
  • databases
要点
  • AWS Advanced JDBC WrapperにKMS Encryptionプラグインが追加され、カラムレベルのクライアントサイド暗号化を提供
  • Javaアプリケーションがアプリケーションコードを変更せずに、データベースに到達する前に機密データを暗号化可能
  • JDBCドライバーレベルで動作し、書き込み時に暗号化、読み取り時に復号を自動的に実施
  • データベース側では暗号化された値のみが見え、平文はアプリケーション側でのみ参照可能
  • PCI DSS、HIPAA、GDPRなどのコンプライアンスリスクを軽減
  • 既存のSQL、Spring、Hibernate、コネクションプールとシームレスに統合
  • Amazon RDSおよびAmazon Aurora PostgreSQLおよびMySQL互換データベースに対応
  • Apache 2.0ライセンスのオープンソースプロジェクトとして提供
アップデート内容要約

AWS Advanced JDBC Wrapperに新たにKMS Encryptionプラグインが追加され、カラムレベルのクライアントサイド暗号化が可能になりました。これにより、Javaアプリケーションはアプリケーションコードを変更することなく、データがデータベースに到達する前に機密データを暗号化できます。データベース側では暗号化された値のみが見え、平文はアプリケーション側でのみ参照可能となり、PCI DSS、HIPAA、GDPRなどのコンプライアンスリスクを軽減します。
アップデート内容全文

AWS Advanced JDBC Wrapperは、KMS Encryptionプラグインを通じてカラムレベルのクライアントサイド暗号化を提供するようになりました。
このラッパーは、フェイルオーバー処理、AWS認証統合、Amazon AuroraおよびAmazon RDSオープンソースデータベース向けの拡張モニタリングなどの高度な機能を提供しています。
Javaアプリケーションがアプリケーションコードを変更することなく、データがデータベースに到達する前に機密データを暗号化することを可能にします。

データベースの保存時暗号化と転送中のTLSは基本的なセキュリティ制御です。
しかし、これらの制御ではデータベースエンジン内でデータが復号されます。
認証情報の漏洩、過剰な権限を持つ管理者、またはSQLインジェクション攻撃により、機密データが平文で公開される可能性があり、PCI DSS、HIPAA、GDPRにおけるコンプライアンスリスクが生じます。

KMS Encryptionプラグインは、JDBCドライバーレベルで動作することでこのギャップを解消します。
アプリケーションが暗号化カラムに書き込む際、プラグインはデータがデータベースに到達する前に値を暗号化します。
読み取り時には、アプリケーションに返す前に値を復号します。
平文はアプリケーションからのみ参照可能で、データベース側では暗号化された値のみが見えます。
データベースは暗号化キーを必要とせず、HMAC検証によりデータの整合性を検証できます。

このプラグインは、既存のSQL、Spring、Hibernate、およびコネクションプールの設定とシームレスに統合され、コード変更を必要としません。
KMS EncryptionプラグインはAmazon RDSおよびAmazon Aurora PostgreSQLおよびMySQL互換データベースで動作します。
このプラグインはApache 2.0ライセンスのオープンソースプロジェクトとして提供されています。

関連サービス
  • AWS KMS
  • Amazon Aurora
  • Amazon RDS
関連サービスの説明
  • AWS KMS（Key Management Service）は、暗号化キーの作成と管理を容易にするマネージドサービスです。データの暗号化に使用するキーを一元管理し、アクセス制御やキーのローテーションを行えます。多くのAWSサービスと統合されており、本記事ではJDBC Wrapperのプラグインがこのサービスを利用してクライアントサイドでのデータ暗号化・復号を実現しています。
  • Amazon Auroraは、AWSが提供するクラウド向けに設計されたリレーショナルデータベースサービスです。MySQLおよびPostgreSQLと互換性があり、商用データベースと同等のパフォーマンスと可用性を、従来のデータベースの10分の1のコストで提供します。自動フェイルオーバー、自動バックアップ、リードレプリカなどの機能を備えており、高い耐久性とスケーラビリティを実現しています。
  • Amazon RDS（Relational Database Service）は、クラウド上でリレーショナルデータベースのセットアップ、運用、スケーリングを容易にするマネージドサービスです。MySQL、PostgreSQL、MariaDB、Oracle、SQL Serverなど複数のデータベースエンジンをサポートしています。ハードウェアのプロビジョニング、パッチ適用、バックアップ、リカバリなどの管理タスクを自動化し、ユーザーがアプリケーション開発に集中できるようにします。
関連URL