Amazon Redshift の動作の変更
Amazon Redshift が進化し、改善が進むにつれ、パフォーマンス、セキュリティ、ユーザーエクスペリエンスを向上させるために、動作に一定の変更が加えられます。このページは、これらの重要な更新に関する情報を入手して、アクションを実行し、ワークロードが中断する可能性を回避するための包括的なリソースとして利用できます。
今後予定されている動作変更
今後予定されている動作変更について、以下に説明します。
2025 年 1 月 10 日以降に有効になるセキュリティ変更
セキュリティは、Amazon Web Services (AWS) における最優先事項です。そのため、Amazon Redshift 環境のセキュリティ体制を一層強固なものとするために、強化されたセキュリティデフォルトを導入します。これにより、追加の設定を行うことなくデータセキュリティのベストプラクティスを遵守しやすくなり、設定ミスのリスクも軽減されます。サービス中断の影響を回避するために、発効日までに、プロビジョニング済みのクラスターやサーバーレスワークグループの作成設定、スクリプト、ツールを確認し、新しいデフォルト設定に合わせた変更を適宜行ってください。
パブリックアクセスはデフォルトでは無効化
2025 年 1 月 10 日以降、新しく作成されたプロビジョニング済みクラスターと、スナップショットから復元されたクラスターのすべてに対して、パブリックアクセスはデフォルトで無効になります。このリリース以降、デフォルトでは、クラスターへの接続は、同じ仮想プライベートクラウド (VPC) 内のクライアントアプリケーションからのみ許可されるようになります。別の VPC のアプリケーションからデータウェアハウスにアクセスするには、クロス VPC アクセスを設定します。この変更は、CreateCluster および RestoreFromClusterSnapshot API オペレーション、および対応する SDK コマンドと AWS CLI コマンドに反映されます。Amazon Redshift コンソールからプロビジョニング済みクラスターを作成した場合、そのクラスターのパブリックアクセスはデフォルトで無効になります。
それでもパブリックアクセスが必要な場合は、デフォルトをオーバーライドして、CreateCluster または RestoreFromClusterSnapshot API オペレーションの実行時に PubliclyAccessibleパラメータを true に設定する必要があります。パブリックアクセスが可能なクラスターでは、セキュリティグループまたはネットワークアクセスコントロールリスト (ACL) を使用してアクセスを制限することをお勧めします。詳細については、VPC セキュリティグループおよびAmazon Redshift クラスターまたは Amazon Redshift Serverless ワークグループのセキュリティグループ通信設定の構成を参照してください。
デフォルトでの暗号化
2025 年 1 月 10 日以降、Amazon Redshift では、新たに作成されたすべての Amazon Redshift プロビジョニング済みクラスターのデフォルト設定として暗号化が有効になり、データとクラスターのセキュリティが一層強化されます。これは、スナップショットから復元されたクラスターには適用されません。
この変更により、AWS Management Console、AWS CLI、または API を使用して KMS キーを指定せずにプロビジョニング済みクラスターを作成する場合、クラスターを復号化する機能は使用できなくなります。クラスターは自動的に AWS 所有のキー で暗号化されます。
この変更を受けて、暗号化されていないクラスターを自動スクリプトで作成している場合や、暗号化されていないクラスターとのデータ共有を活用している場合は、支障が出る可能性があります。シームレスに移行できるように、暗号化されていないクラスターを作成するスクリプトは更新してください。また、暗号化されていないコンシューマークラスターを定期的に新規作成し、データ共有に使用している場合は、設定を見直して、データ共有アクティビティが中断されないように、プロデューサークラスターとコンシューマークラスターの両方を確実に暗号化してください。詳細については、「Amazon Redshift データベース暗号化」を参照してください。
SSL 接続の強制
2025 年 1 月 10 日以降、Amazon Redshift では、新しく作成されたプロビジョニング済みクラスターと復元されたクラスターに接続するクライアントに対して、デフォルトで SSL 接続が適用されます。このデフォルトの変更は、サーバーレスワークグループにも適用されます。
この変更により、新規作成または復元されたすべてのクラスターに default.redshift-2.0 という名前の新しいデフォルトパラメータグループが導入され、require_ssl パラメータはデフォルトで true に設定されます。パラメータグループを指定せずに新規作成されたクラスターは、default.redshift-2.0 パラメータグループを自動的に使用します。Amazon Redshift コンソールを使用してクラスターを作成する場合は、新しい default.redshift-2.0 パラメータグループが自動的に選択されます。この変更は、CreateCluster および RestoreFromClusterSnapshot API オペレーション、および対応する SDK コマンドと AWS CLI コマンドにも反映されます。既存またはカスタムのパラメータグループを使用する場合は、パラメータグループで指定されている require_ssl 値が引き続き尊重されます。必要に応じて、カスタムパラメータグループの require_ssl 値を変更することもできます。
Amazon Redshift Serverless ユーザーについては、config-parameters の require_ssl のデフォルト値は true に変更されます。require_ssl を false に設定して新しいワークグループを作成するリクエストは、拒否されます。ワークグループの作成後に require_ssl 値を false に変更できます。詳細については、「接続のセキュリティオプションを設定する」を参照してください。
特定のユースケースで必要な場合は、依然として、クラスターまたはワークグループの設定を変更してデフォルトの動作を変更できます。
