AWS What's New Digest

Appearance

2026年04月04日 ​

[Emr] Apache Spark troubleshooting and upgrade agents now available as Kiro powers ​

概要 ​

Amazon EMR向けのApache SparkトラブルシューティングエージェントとアップグレードエージェントがKiroの「powers」として利用可能になりました。Kiro上からワンクリックでAI支援によるSpark運用（障害解析やバージョンアップ）を実行できます。

変更内容・新機能の詳細 ​

2つのKiro powerが提供されます： ・トラブルシューティングパワー：EMR on EC2およびEMR Serverless上のSparkジョブ障害時に、ログ、メトリクス、設定を横断的に解析して根本原因を特定し、PySparkアプリケーション向けの具体的なコード修正案を提示します。解析はKiroのAIを用いて行われます。 ・アップグレードパワー：Sparkのメジャー/マイナーアップグレード作業（例：EMR 6.5 → EMR 7.12）を自動化します。コード変換、依存関係の解決、リモート検証（テストジョブ実行による検証）やデータ品質比較を通じて、実運用への移行リスクを低減します。 両パワーともMCP Proxy for AWS経由でSparkエージェントに接続し、IAMロールベースの認証を用います。実行されたアクションはAWS CloudTrailに記録され、監査可能です。Kiro IDEから該当のpowerをインストールして利用を開始できます。これらは全てのAWS商用リージョンで利用可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: データエンジニア、プラットフォーム/SREチーム、ETL開発者
  • 利用シーン: Sparkジョブの故障解析（ログ・メトリクス解析と修正提案）、Spark/EMRのバージョンアップ作業（コード変換と依存関係解決、リモート検証）
  • 運用効果: トラブルシューティング時間を数時間から数分へ短縮、バージョンアップに要する時間を数ヶ月から数週間へ圧縮、手動作業と人的ミスの削減、監査ログによる変更履歴管理によるコンプライアンス対応の容易化

技術的な注意点 ​

  • IAM権限: MCP ProxyおよびKiroが利用するIAMロールの設定が必要。エージェント実行に必要なEMR操作権限（クラスタ参照、ジョブサブミット、ログ閲覧等）を付与してください。
  • リージョン制限: 全AWS商用リージョンで提供されていますが、政府/中国等特殊リージョンの可用性は要確認してください。
  • コスト: Kiroの利用料、追加のEMRジョブ実行（リモート検証用テストジョブ）に伴うEMR/EC2/Serverless実行コスト、データ転送コストが発生する可能性があります。
  • セットアップ/前提: Kiro IDEへの該当powerインストール、MCP Proxy for AWSの構成、CloudTrailの有効化が必要です。テスト用クラスタや検証データを用意すると安全に検証できます。
  • 互換性/制約: PySpark向けのコード推奨が明記されていますが、カスタムライブラリや特殊な依存関係は手動対応が必要な場合があります。全てのアップグレードパスが完全自動化されるわけではないため、事前の互換性確認を推奨します。
  • 監査/ログ: すべてのアクションはCloudTrailに記録されますが、実行ログや出力結果はS3やCloudWatchに保存される場合があるため保存先の権限・ライフサイクル設定を確認してください。
  • データプライバシー: ログやジョブ出力を第三者サービスで解析する場合、機密データの扱いに注意してください。必要に応じてマスキングや最小権限の適用を行ってください。

参考情報 ​

[Msk] AWS Glue Schema Registry is now available in three more AWS regions ​

概要 ​

AWS Glue Schema Registry（AWS Glue のサーバーレスかつ無料の機能）が、アジアパシフィック（ジャカルタ）、ヨーロッパ（スペイン）、ヨーロッパ（チューリッヒ）の3リージョンで利用可能になりました。ストリーミングデータのスキーマ管理と検証を各リージョンで行えます。

変更内容・新機能の詳細 ​

Glue Schema Registryは、Apache Avro、JSON、Protocol Buffers の登録スキーマを中央リポジトリとして管理し、ストリーミングアプリケーション間でデータ形式・構造の整合性を保証するサービスです。サーバーレスで追加のインフラ管理は不要、Apacheライセンスのシリアライザ／デシリアライザ（Java/C#）を通じて、Apache Kafka / Amazon MSK、Amazon Kinesis Data Streams、Apache Flink / Amazon Kinesis Data Analytics for Apache Flink、AWS Lambda 等のアプリケーションに組み込めます。スキーマ互換性（BACKWARD、FORWARD、FULL、NONE 等）を設定してスキーマ進化を制御し、データ検証ロジックの分散やチーム間調整を削減して、下流アプリケーションの障害を低減します。リージョン単位でレジストリ・スキーマを作成・参照するため、リージョンのエンドポイント経由で利用します。詳細は Glue Schema Registry のドキュメントと AWS リージョンサービス一覧を参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: ストリーミングデータを扱う開発者・データエンジニア、SRE/運用チーム、MSK/Kinesis を利用するアプリケーション開発者
  • 利用シーン: Kafka/MSK や Kinesis を用いたイベントストリーミングでのスキーマ検証と互換性管理、Flink や Lambda を使ったリアルタイム処理パイプラインのデータ品質担保
  • 運用効果: データフォーマットチェックのコード削減、チーム間のスキーマ連携工数削減、下流処理の障害およびデータ不整合の低減による運用安定化

技術的な注意点 ​

  • IAM権限: glue:CreateRegistry / glue:CreateSchema / glue:GetSchema / glue:GetSchemaVersion などのGlue Schema Registry関連権限が必要です。必要なIAMポリシーを事前に付与してください。
  • リージョン制限: 本アナウンスは Asia Pacific (Jakarta), Europe (Spain), Europe (Zurich) への提供拡大です。利用可能なリージョンは AWS Regional Services List で都度確認してください（リージョンごとにレジストリを作成する必要があります）。
  • コスト: Schema Registry 自体は Glue のサーバーレス機能として無料で提供されますが、シリアライザ使用やデータ転送、MSK/Kinesis/Flink/Lambda の利用にはそれぞれ料金が発生します。設計時にこれらのコストを考慮してください。
  • 互換性設定: スキーマ互換性（BACKWARD / FORWARD / FULL / NONE）を適切に設定してスキーマ進化を制御してください。不適切な設定はリジェクトや下流障害を招く可能性があります。
  • 暗号化/KMS: スキーマやレジストリに対する暗号化設定（KMS）を利用可能です。キー管理ポリシーとアクセス制御を確認してください。
  • クライアント/ランタイム: AWS 提供の Apache-licensed シリアライザ/デシリアライザ（Java/C#）を使用して統合します。独自実装や他の言語を使う場合は互換性と動作確認が必要です。
  • 運用上の注意: シリアライズ／デシリアライズの導入により処理レイテンシが増える可能性があるため、スループット要件に対する負荷試験を推奨します。
  • APIエンドポイント: レジストリはリージョンごとのエンドポイントで動作します。クロスリージョン参照やレプリケーションは自動提供されないため、設計で考慮してください。

参考情報 ​

[General] Amazon SageMaker Data Agent introduces charting capabilities and support for materialized views ​

概要 ​

Amazon SageMaker Data Agentがノートブック内での対話型チャート表示、SnowflakeデータソースへのSQL解析、およびマテリアライズドビューの管理機能をサポートしました。自然言語プロンプトでデータ探索、可視化、クエリ最適化まで行えるワークフローが強化されています。

変更内容・新機能の詳細 ​

主な追加機能は次のとおりです。

  • 対話型チャート生成: SageMaker Unified Studioのノートブック内のData Agentチャットから自然言語で指示すると、直接インタラクティブなチャートを生成します。チャート上でホバーした際のツールチップ表示や、コードを書かずにパラメータ変更・再描画が可能です。
  • Snowflakeに対するSQL解析: Snowflakeのテーブルを外部接続経由でクエリでき、AWSのGlue Data Catalogに登録されたデータと単一のプロンプトで結合・分析できます。複数データソースにまたがる分析を一つのノートブックで実行できます。
  • マテリアライズドビュー管理: ノートブック内のクエリパターンを解析し、どのクエリがマテリアライズドビューの恩恵を受けるかを提案します。提案に基づきマテリアライズドビューを作成し、リフレッシュスケジュールを設定する機能を備えています。
  • 利用方法: SageMaker Unified Studioのプロジェクトでノートブックを開き、Data Agentチャットパネルを利用することで利用開始できます。
  • 可用性: SageMaker Unified StudioがサポートされるすべてのAWSリージョンで利用可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: データサイエンティスト、データエンジニア、BI担当者、SRE/運用チーム
  • 利用シーン: ノートブック上での探索的データ分析（EDA）、クロスソース結合（Snowflake + Glueカタログ）のクイック分析、インタラクティブな可視化作成、クエリ最適化の自動化
  • 運用効果: コード不要で迅速に可視化・分析が行えるため分析サイクルが短縮される。マテリアライズドビューの自動提案・作成によりクエリ応答性が改善され、繰り返しクエリによるコスト削減やパフォーマンス向上が期待できる

技術的な注意点 ​

  • IAM権限: SageMakerノートブック実行・Data Agent機能、Glue Data Catalogアクセス、マテリアライズドビュー作成対象に対する書き込み権限など必要な権限を事前に付与してください。最小権限の原則を適用することを推奨します。
  • Snowflake接続: Snowflakeへの接続情報（資格情報・外部接続の設定）が必要です。認証方式やネットワーク（パブリック/プライベート接続、VPC経由の設定）を事前に確認してください。
  • リージョン制限: SageMaker Unified Studioがサポートされるリージョンで利用可能です。リージョンによっては未提供の可能性があるため事前確認してください。
  • コスト: SageMakerノートブックの実行時間、クエリ実行時のコンピュート（Snowflake側・AWS側）、およびマテリアライズドビューによる追加ストレージと定期リフレッシュのコンピュートコストが発生します。データ転送（Snowflake↔AWS）にかかる料金も考慮してください。
  • ガバナンス／監査: Data Agentがビュー作成などの変更を行うため、変更は監査ログに記録されるようにIAMおよびCloudTrailの設定を確認してください。Lake Formationを使う環境では追加のアクセス制御考慮が必要です。
  • 互換性・制限: 機能はノートブック内のData Agentチャットパネル経由で利用されます。外部データソース連携は現状Snowflakeを例に挙げているため、他の外部DBの対応状況はドキュメントで確認してください。
  • 特記事項: マテリアライズドビュー作成時のリフレッシュ頻度はワークロードに合わせて調整し、ストレージおよび実行コストとのトレードオフを評価してください。

参考情報 ​

[Bedrock] Amazon Bedrock Guardrails announces general availability of cross-account safeguards ​

概要 ​

Amazon Bedrock Guardrailsが一般提供（GA）になり、管理アカウントから組織内の全AWSアカウントに対してセーフガードを一括適用できるクロスアカウント保護機能を提供します。これにより基礎モデルの入出力に対する安全対策を中央で自動適用できます。

変更内容・新機能の詳細 ​

今回のアップデートでは、管理アカウントで定義したGuardrail IDを新しいAmazon Bedrockポリシーに指定することで、そのGuardrail設定を組織単位（OU）や個別アカウントを含むメンバーエンティティ全体に自動的に適用できるようになりました。Guardrailsはマルチモーダル（テキスト、画像等含む）入力とモデル応答の両方を対象にフィルタリングを行い、最大で約88%の有害コンテンツをブロックできるとされています。また、基礎モデルが生成する幻覚（hallucination）応答の検出・フィルタリング機能も提供します。管理者は組織レベルでの一律のベースライン保護、アカウント単位での部門要件に応じた制御、アプリケーション特有の保護を組み合わせて運用できます。複数のガードレールは推論呼び出し時に合成（union）されて適用されます。機能はAmazon Bedrock Guardrailsがサポートされる全ての商用リージョンおよびGovCloudリージョンで利用可能で、AWSマネジメントコンソールまたは対応APIから操作できます。

影響範囲・利用シーン ​

  • 対象ユーザー: セキュリティ/ガバナンスチーム、クラウドアーキテクト、SRE、アプリケーション開発チーム
  • 利用シーンまたは効果: 組織全体で基礎モデルの入出力に対する一貫した安全対策を自動適用して、個別アカウントでの手動設定コストを削減
  • 運用効果: 管理アカウントから単一のコントロールポイントでポリシーを展開できるため、導入／変更の運用工数が低減され、ポリシー適用の漏れを防止
  • コンプライアンス効果: 規制要件や社内ポリシーに沿った統一的な検査・ブロックを実現し、監査対応を容易にする
  • 適用範囲: Amazon Bedrock経由のモデル呼び出しに対して適用され、他サービスのモデル利用には自動適用されない可能性があるため設計時に確認が必要

技術的な注意点 ​

  • IAM権限: 管理アカウントおよび設定を行うユーザーに対し、Amazon BedrockおよびAWS Organizations関連の適切な権限が必要（管理アカウント操作権限の確保が前提）
  • 組織要件: AWS Organizationsでの管理アカウント体制が前提。対象アカウントが組織のメンバーであることを確認してください
  • リージョン制限: Bedrock Guardrailsがサポートされる商用リージョンおよびGovCloudで利用可能。利用予定リージョンでのサポート状況を事前に確認してください
  • 適用の伝播/遅延: ポリシー適用や変更の伝播に時間がかかる場合があるため、展開計画に時間余裕を持たせることを推奨します
  • 優先度/競合: 組織レベル、アカウントレベル、アプリケーション固有のガードレールは“合成（union）”されて適用されます。衝突解決の仕組みや上書きルールはドキュメントで確認してください
  • 監査とログ: 適用状況やブロックされたリクエストの可視化のため、CloudWatchや監査ログの設定・連携を検討してください
  • コスト: ガードレールの利用自体に明示的な料金が発生しない場合でも、ログ収集・検知結果の保存や追加API呼び出しによる料金が発生する可能性があります
  • 互換性: この保護はAmazon Bedrock経由のモデル呼び出しに適用されます。他のAI/MLサービスや独自デプロイのモデルには適用されない点に注意してください
  • API/コンソール: AWSマネジメントコンソールとサポートされるAPIから設定可能。自動化する場合は対応APIを使ったIaC（Infrastructure as Code）運用を検討してください

参考情報 ​

[Marketplace] Partner Revenue Measurement now supports User Agent string for certain AWS services ​

概要 ​

AWSはPartner Revenue Measurementの新機能として、特定のAWSサービス呼び出しに対してAWS Marketplaceの製品コードをUser Agent文字列に埋め込める機能を一般利用可能（GA）にしました。これによりパートナーはAPI/SDK経由のサービス消費をソリューション単位で計測できるようになります。

変更内容・新機能の詳細 ​

Partner Revenue MeasurementのUser Agent string機能は、アプリケーションから行うAWS API/SDK呼び出しに対して、Marketplace出品の一意な製品コードをUser Agentとして付与することで、そのソリューションが引き起こしたクラウドサービス消費を定量化できる仕組みです。User Agentのフォーマットは記事中の表記（例: APN_1.1/pc_$）に準拠し、パートナーはアプリケーション内で明示的にUser Agentを設定するか、SDKの環境変数またはAWS共有設定ファイル（shared config）へ設定を追加して全てのAWSサービス呼び出しへ自動適用できます。Python、Node.js、Java、Kotlinおよびその他のAWS SDKで自動化デプロイに対応しており、APIドリブンなワークロードの帰属（attribution）を取得します。本機能はPartner Revenue Measurementの既存機能（リソースタグ付与やAWS Marketplace Meteringとの統合）を補完し、一部のAWSサービスでサポートされます。機能は全ての商用リージョンで一般利用可能です。詳細な実装手順や対応サービスは公式の実装ガイドとサポートサービス一覧を参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: AWS Marketplace出品パートナー、ISV、ソリューションプロバイダー
  • 利用シーン: SDK/API経由で動作するソフトウェア（SaaS連携、エージェント、CLI/自動化スクリプト）からのサービス消費を製品単位で計測する場合
  • 運用効果: 製品ごとのAWS利用影響（課金に繋がる消費量）の可視化が可能になり、収益分析やライセンス/課金モデルの評価、営業/技術支援のための利用実態把握がしやすくなる
  • 利用範囲: パートナー管理アカウントだけでなく顧客管理アカウントのAPI呼び出しにも適用可能（対応サービスは限定されるため要確認）

技術的な注意点 ​

  • IAM権限: 通常のAPI呼び出し権限が必要です。User Agent自体はクライアント側の設定なので専用のIAM権限変更は不要ですが、Partner Revenue MeasurementのオンボーディングやMarketplace連携には追加権限や設定が必要な場合があります
  • リージョン制限: GAは全ての商用リージョンで提供されていますが、User Agentで帰属計測を行える『対応サービス』は限定されるため、サービス毎のサポート状況を確認してください
  • コスト: User Agent設定自体に追加料金は発生しませんが、計測対象となるAPI呼び出しやログ収集に伴う通常のAPI/ネットワーク/ログ利用コストは発生します
  • 実装注意点: SDKごとにUser Agent設定方法が異なるため、実装前に公式のUser Agent実装ガイドを参照してください。環境変数やshared configで自動適用する設定は、CI/CDや自動デプロイ環境に組み込むことで一括適用が可能です
  • セキュリティ/データ保護: User Agentに機密情報を含めないでください。User Agentはリクエストヘッダとして転送され、ログに残る可能性があります
  • 精度/制約: User Agentベースの帰属はベストエフォートである点、プロキシやミドルウェアでUser Agentが上書き・削除されると計測に影響する点に留意してください

参考情報 ​

[General] Partner Revenue Measurement now supports AWS Marketplace Metering for certain AWS Marketplace products ​

概要 ​

Partner Revenue Measurement が AWS Marketplace の Metering と統合され、AWS Marketplace に出品された AMI と ML 製品の利用状況（EC2 / SageMaker 消費）を自動計測してパートナーの収益・消費可視化に利用できるようになりました。全商用リージョンで一般提供されています。

変更内容・新機能の詳細 ​

今回の拡張により、Partner Revenue Measurement は AWS Marketplace Metering が提供するメータリングデータを取り込み、AMI（Amazon Machine Image）および機械学習（ML）製品に伴う Amazon EC2 と Amazon SageMaker のサービス消費を把握できるようになります。これにより、従来の Resource Tagging や User Agent 文字列による帰属推定を補完し、顧客が Marketplace 経由で製品を購入・利用したケースについて、追加のパートナー側実装を不要にして利用状況の帰属（attribution）を自動で取得できます。取り込みはパートナー管理アカウントと顧客管理アカウント双方の消費に対して行われ、Partner Revenue Measurement の既存のレポート機能や分析フローに統合して利用できます。詳細は AWS Marketplace Metering ガイドと Partner Revenue Measurement のオンボーディングガイドを参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: ISV/パートナー企業のビジネス担当者、SaaS/AMI/ML プロダクトオーナー、クラウド収益アナリスト
  • 利用シーンまたは効果: Marketplace 経由の AMI／ML 製品利用に伴う EC2/SageMaker 消費を自動的に可視化し、製品別・顧客別の収益寄与や消費パターンの分析が可能
  • 運用効果: リソースタグや User Agent に依存しない帰属データにより、計測の抜け漏れが減り請求・収益分析や営業活動の精度が向上
  • 適用範囲: AWS Marketplace に出品された AMI および ML 製品に限定（Marketplace 経由での購入・利用のみ計測）
  • リージョン: 全商用リージョンで一般提供（ただし個別リージョンのサービス可用性は別途確認が必要）

技術的な注意点 ​

  • IAM権限: Partner Revenue Measurement のデータ取り込み／表示にはパートナー側でのオンボーディングと必要な IAM 権限・連携設定が必要。詳細はオンボーディングガイドを参照してください。
  • リージョン制限: 発表では『全商用リージョンで一般提供』とありますが、個別リージョンの Marketplace 機能やサービス（例: 特定の SageMaker 機能）が未対応の場合があるため導入前にリージョン単位で確認してください。
  • コスト: Marketplace の利用料金や手数料、対象サービス（EC2/SageMaker）の通常の利用料は別途発生します。Partner Revenue Measurement 自体の利用に関する料金体系がある場合はオンボーディング時に確認してください。
  • 技術的制約: 本連携は Marketplace 経由での購入・利用に基づくメータリングデータを使用するため、Marketplace 外で直接購入・デプロイされたリソースの消費は反映されません。また、Resource Tagging や User Agent による帰属情報とはタイミングや粒度が異なる可能性があるため、集計・照合ルールの整備が必要です。
  • プライバシー／契約: 顧客データの計測・共有には Marketplace 契約やデータ共有に関する同意が必要になる場合があります。オンボーディング時に法務／セキュリティ要件を確認してください。

参考情報 ​

[Secrets Manager] AWS Secrets Manager console now supports custom input for AWS KMS keys ​

概要 ​

AWS Secrets Managerのコンソールで、シークレット作成時に別アカウントのカスタマー管理型AWS KMSキーを含むKMSキーのARNを直接入力できるようになりました。これによりコンソール操作が既存のAPI機能と整合し、クロスアカウントの暗号化ワークフローが簡素化されます。

変更内容・新機能の詳細 ​

従来はSecrets Managerコンソールでシークレットを作成する際、同一アカウント内のカスタマー管理KMSキーのみがドロップダウンで選択可能でした。今回の変更で、コンソールのKMSキー指定欄にKMSキーの完全なARN（例: arn:aws:kms:リージョン:アカウントID:key/キーID）を直接入力できるようになり、別アカウントにあるKMSキーを利用できます。仕様上は既存API（CreateSecret/PutSecretValue等）でこれまでサポートされていた挙動と同等で、入力されたARNは検証され、Secrets Managerはその指定キーを用いてシークレットのデータキーを生成・暗号化します。注意点として、Secrets Managerは対称型（対称暗号）KMSキーを用いる設計であるため、非対称キーはサポート対象外です。また、別アカウントKMSキーを使用する場合はKMSキーのキーポリシーやGrant、及び利用側のIAM権限の調整が必要です。本機能はSecrets Managerが利用可能なすべてのAWSリージョンで利用可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: マルチアカウント構成で暗号鍵を中央管理しているセキュリティチーム、クラウド運用/SRE、アプリケーション開発者
  • 利用シーン: 中央アカウントのKMSキーで他アカウントのSecrets Managerシークレットを暗号化してキー管理を一元化する場合（クロスアカウント鍵運用）
  • 運用効果: コンソールから直接別アカウントのKMSキーARNを指定できるため、CLI/APIを使わずにクロスアカウント暗号化を設定可能となり運用工数が削減される。鍵の一元管理や監査が容易になり、キー管理ポリシーの適用と準拠性を向上できる。

技術的な注意点 ​

  • IAM権限: Secrets Manager側でシークレット作成/更新を行うIAM主体に対し、kms:GenerateDataKey、kms:Encrypt、kms:Decrypt、kms:ReEncrypt*、kms:DescribeKeyなどのKMS操作が許可されているか確認してください（通常はキーポリシーやGrantで制御）。
  • キーポリシー/Grant: 別アカウントのKMSキーを使う場合、キーのキーポリシーでSecrets Managerを呼び出すアカウントやサービス（secretsmanager.amazonaws.com または対象アカウントのIAMプリンシパル）を許可するか、CreateGrantで利用を許可する必要があります。キーポリシーだけでなくGrantを使う運用も検討してください。
  • KMSキー種類: Secrets Managerは対称型KMSキーを想定しています。非対称キーは利用不可のため、対象キーが対称キー（対称暗号）であることを確認してください。
  • ARN形式: コンソール入力はKMSキーの完全なARN（arn:aws:kms:region:account-id:key/key-id）を指定する必要があります。エイリアス（alias/...）の入力可否はコンソールの挙動に依存するため、ARN指定が確実です。
  • リージョン制限: 記事公開時点では「Secrets Managerが利用可能なすべてのリージョン」で機能提供とされていますが、KMSキーが存在するリージョンやキーのリージョン依存性に注意してください（KMSキーはリージョン境界があるため、リージョンを跨いだ使用はサポート外です）。
  • コスト: コンソール機能自体に追加料金はありませんが、KMSの使用に伴うAPIリクエスト（GenerateDataKey等）やキー管理費用が発生します。鍵利用頻度によるKMS課金を考慮してください。

参考情報 ​

AI要約はOpenAI APIによって生成されています。

Copyright © 2026