AWS What's New Digest

Appearance

2026年04月06日 ​

[S3] Amazon S3 starts rolling out new security best practice to new and existing buckets by default ​

概要 ​

Amazon S3は既定のバケットセキュリティ設定を変更し、新規の一般用途バケットに対してサーバー側暗号化（SSE-C：顧客提供キー）を無効化するロールアウトを開始しました。既存アカウントでもSSE-Cを使用していない場合は新規の書き込みリクエストでSSE-Cが無効になりますが、SSE-Cを既に利用しているアカウントや既存のSSE-Cオブジェクトには影響しません。

変更内容・新機能の詳細 ​

主な変更点:

  • 新規一般用途バケット: デフォルトでSSE-C（Server-Side Encryption with Customer-provided keys）を無効化。新しく作成したバケットではSSE-Cを利用したサーバー側暗号化がデフォルト設定として許可されません。
  • 既存バケット（アカウント内にSSE-Cで暗号化されたオブジェクトが存在しない場合）: 新しい書き込みリクエストに対してSSE-Cが無効化されます。つまり、該当アカウントでは以後のPUT等でSSE-Cを指定しても扱われない、または拒否される挙動になります（具体的なAPIレスポンスは使用するSDK/APIやS3の実装に依存します）。
  • SSE-Cを既に使っているアカウント: バケットや既存オブジェクトの暗号化設定は変更されません。既存のSSE-Cオブジェクトは引き続きアクセス可能で、SSE-Cキーの管理は従来通りユーザー責任です。
  • 適用範囲とスケジュール: 今回のデフォルト変更は37のAWSリージョン（AWS ChinaおよびAWS GovCloud (US)含む）に対して数週間かけてロールアウトされます。 推奨対応:
  • 新規開発や運用ではSSE-S3（Amazon S3 managed keys）またはSSE-KMS（AWS KMS管理キー）への移行を検討する。これらは鍵の保管やローテーション、監査が容易です。
  • 既存でSSE-Cを利用している場合は、継続利用の可否を検討し、移行するならばオブジェクトのコピー（PUT COPYやS3 Batch Operations）で暗号化方式を変更する計画を立てる。
  • アプリケーションはSSE-C関連ヘッダー（例: x-amz-server-side-encryption-customer-key 等）を送信する実装があるか確認し、不要であれば削除、またはSSE-KMS等へ切り替える実装変更とテストを行う。

影響範囲・利用シーン ​

  • 対象ユーザー: S3でSSE-C（顧客提供キー）を利用する開発者、運用者、セキュリティ担当者
  • 利用シーンまたは効果: SSE-Cを使ったオブジェクト書き込みを行うアプリケーションはヘッダーの送信や暗号化フローを見直す必要がある。新規バケットではSSE-Cがデフォルトで無効になるため、SSE-KMSやSSE-S3への移行で鍵管理やコンプライアンスを簡素化できる
  • 運用効果: SSE-C誤設定やキー管理ミスによるセキュリティリスクの低減。逆に、SSE-Cに依存したワークロードは事前対応を行わないと書き込み失敗やサービス障害が発生する可能性がある

技術的な注意点 ​

  • IAM権限: SSE-C固有の追加IAM権限は不要だが、オブジェクトをコピーして暗号化方式を変更する場合はs3:GetObject、s3:PutObject、場合によってはs3:ReplicateObjectやS3 Batch Operationsの権限が必要
  • リージョン制限: ロールアウトは37リージョンに展開されるが、全リージョン適用のタイミングは異なるため自リージョンの状況を公式ドキュメントで確認すること
  • 既存SSE-Cオブジェクトの扱い: 既存のSSE-Cで暗号化されたオブジェクト自体は今回の変更で消去・再暗号化されない。SSE-Cを使用するアカウントはバケット設定が変更されない
  • 互換性: クライアントがSSE-Cヘッダーを送信する実装の場合、書き込みリクエストが拒否されるか、S3側でSSE-Cが無視される可能性があるため事前検証が必要
  • コスト: オブジェクトの再暗号化やコピーに伴うリクエスト料金、データ転送（同リージョン内は通常データ転送無料だがリクエスト費用は発生）およびS3ストレージの操作コストが発生する可能性あり
  • 運用手順: 移行はテスト環境で検証し、キー管理（SSE-Cの鍵保有ポリシー）や障害対応手順を文書化すること
  • 監査・コンプライアンス: SSE-KMSへ移行する場合はKMSキーのポリシー、アクセスログ（CloudTrail）やS3アクセスログの確認を推奨

参考情報 ​

[Govcloud Us] Amazon RDS for Oracle now supports Oracle Management Agent version 24.1.0.0.v1 for Oracle Enterprise Manager Cloud Control 24aiR1 ​

概要 ​

Amazon RDS for OracleがOracle Enterprise Manager Cloud Control 24aiR1向けのOracle Management Agent (OMA) v24.1.0.0.v1をサポートしました。RDS上のOracleインスタンスにOMAをインストールして既存のOracle Management Service (OMS) と連携できます。

変更内容・新機能の詳細 ​

サポートされたエージェントはOracle Management Agent 24.1.0.0.v1で、Oracle Enterprise Manager Cloud Control 24ai Release 1以降のOMSと連携可能です。RDS for OracleではOption Groups経由でOEM_AGENTオプションを追加し、AGENT_VERSIONを"24.1.0.0.v1"に設定することで有効化します。オプション設定にてOMSのホスト名（またはIP）、ポート、エージェント登録用パスワード（agent registration password）、および通信に使用する最小TLSバージョン（TLSv1.2）を指定する必要があります。エージェントはRDSインスタンス上にインストールされ、指定したOMSへメトリクス／監視データを送信します。ネットワーク接続（VPCからOMSへの疎通）、TLS設定、エージェント登録の手順（登録パスワードの設定・同期）が事前に整っていることが前提です。詳細な手順と互換性についてはAmazon RDS for Oracleのドキュメントを参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: OracleデータベースをRDSで運用し、Oracle Enterprise Managerで一元管理・監視したいDB管理者／運用チーム
  • 利用シーン: OEM 24aiR1（以降）のOMSにRDS上のOracleインスタンスを登録して、性能監視、アラート、診断情報の収集を行う場面
  • 運用効果: OEM上でRDSインスタンスの監視と管理が可能になり、既存の監視フローや運用手順を維持したままRDSを統合できる
  • 導入作業: Option GroupにOEM_AGENTを追加しAGENT_VERSION=24.1.0.0.v1を設定、OMS情報とTLS設定を構成する必要があるため準備作業（ネットワーク、証明書、登録パスワード）が発生する

技術的な注意点 ​

  • IAM権限: Option Groupの変更やDBインスタンスの変更を行うためのRDS関連IAM権限（例: rds:ModifyOptionGroup / rds:ModifyDBInstance等）が必要です
  • リージョン制限: 記事はGovCloud (US)カテゴリで公開されています。利用可能リージョンは順次展開される可能性があるため、実際の対応リージョンはコンソールまたはドキュメントで確認してください
  • コスト: OMA自体で追加のAWS課金は通常発生しませんが、OMSへのネットワークトラフィック（インターネット経由やクロスリージョン接続）に伴うデータ転送費用や運用コスト、Oracle側のライセンス/サポート費用は発生し得ます
  • ライセンス: OEM/OMAはOracle製品です。OMSやOEM機能の利用についてはOracleのライセンス条項とサポート契約を確認してください（顧客責任）
  • 再起動: Optionの追加や設定変更がDBインスタンスの再起動を必要とする場合があります。作業前に影響範囲を確認してください
  • ネットワーク/セキュリティ: RDSインスタンスからOMSへ到達可能なネットワーク経路（VPCルート、セキュリティグループ、NACL、VPN/Direct Connect等）を確保する必要があります
  • TLS: 最小TLSバージョンはTLSv1.2に設定する必要があります。OMS側の証明書やTLS設定が互換であることを確認してください
  • 互換性確認: 対象のOracleエンジンバージョンやRDSのオプション互換性はドキュメントで確認してください（エンジンバージョンによっては非対応の場合があります）

参考情報 ​

AI要約はOpenAI APIによって生成されています。

Copyright © 2026