AWS What's New Digest

Appearance

2026年04月20日 ​

[S3] Amazon S3 Express One Zone now supports S3 Inventory ​

概要 ​

Amazon S3 Express One Zone ストレージクラスで S3 Inventory が利用可能になりました。これにより、レイテンシー重視のワークロードでもオブジェクト一覧やメタデータ・暗号化状況をスケジュール出力して確認できます。

変更内容・新機能の詳細 ​

S3 Inventory を S3 Express One Zone ストレージクラスのオブジェクトに対して日次または週次で生成できるようになりました。S3 Inventory は同期的な List API の代替となるスケジュール出力機能で、指定したバケット（ディレクトリバケット）やプレフィックス配下のオブジェクト一覧を CSV、ORC、Parquet のいずれかの形式で出力します。出力内容にはオブジェクト名、サイズ、最終更新日時、ストレージクラス、マルチパートアップロードフラグ、暗号化ステータスなどのメタデータを含められ、出力先は別バケットを指定可能です。設定は AWS CLI、AWS SDK、または S3 API から行えます。S3 Express One Zone が利用可能なすべてのリージョンで有効です。詳細な料金は S3 の料金ページを参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: レイテンシー重視のアプリケーション開発者、SRE、データエンジニア、コンプライアンス/監査チーム
  • 利用シーン: 大規模オブジェクト集合の定期的なメタデータ収集（バッチ分析、データカタログ作成、監査レポート）、暗号化ステータス確認やコンプライアンス確認の自動化
  • 運用効果: 同期的な List API を大量呼び出しする代わりにスケジュール済みレポートで効率的にオブジェクト一覧を取得でき、ジョブ性能やコストの最適化、暗号化およびライフサイクル適用状況の自動検証が可能

技術的な注意点 ​

  • IAM権限: ソースバケットに対する s3:PutInventoryConfiguration 権限が必要です。レポート出力先が別アカウントの場合、出力先バケットに対して S3 が書き込めるよう s3:PutObject/s3:PutObjectAcl を付与するバケットポリシーや ACL の設定が必要です。
  • KMS と暗号化: 出力先バケットで SSE-KMS を使う場合、S3 が KMS キーを使用してレポートを書き込めるように kms:Encrypt と kms:GenerateDataKey などの KMS 権限をキーのポリシーで許可してください。
  • リージョン制限: S3 Express One Zone が利用可能な AWS リージョンで有効です。Express One Zone が未対応のリージョンでは利用できません。対応状況は公式ドキュメントで要確認。
  • データ耐久性/可用性: Express One Zone は単一アベイラビリティーゾーン配置のストレージクラスのため、冗長性要件（AZ 障害耐性）があるデータは標準の冗長ストレージクラスを検討してください。
  • コスト: S3 Inventory の生成・保存には追加料金が発生する可能性があります（レポートの出力および保存に対する S3 の料金、及び設定数や出力頻度に基づく料金）。詳細は S3 の料金ページを参照してください。
  • パフォーマンス/整合性: Inventory はスケジュールレポート（最短で日次）であり、リアルタイムの List API とは異なります。最新の即時一覧が必要な用途には向きません。

参考情報 ​

[Directory Service] AWS Managed Microsoft AD is now available on Windows functional level 2016 ​

概要 ​

AWS Managed Microsoft AD のドメイン機能レベルが自動的に Windows Server 2016 機能レベルにアップグレードされました。これにより認証機構や特権アクセス管理が強化され、LAPS（ローカル管理者パスワードソリューション）が利用可能になります。

変更内容・新機能の詳細 ​

本アップデートは既存のすべての AWS Directory Service for Microsoft AD ディレクトリに自動適用され、ドメイン機能レベルが Windows Server 2016 に引き上げられました。主な技術的なポイントは以下の通りです。

  • Windows 2016 機能レベルにより、より強化された認証メカニズムおよび特権アクセス管理機能が利用可能になります（Kerberos 改良や管理面でのセキュリティ向上を含む）。
  • LAPS (Local Administrator Password Solution) が利用可能になり、ドメイン結合された各ホストのローカル管理者パスワードを自動で複雑かつユニークに生成し、Active Directory 内に安全に格納できます。LAPS の運用にはクライアント側の AD グループポリシー設定や適切なアクセス権委譲設定が必要です。
  • アップグレードは AWS 管理下のドメインコントローラーに対して行われるため、ドメインコントローラー自体の OS バージョン管理は AWS が担いますが、ドメイン機能レベルの引き上げに伴う互換性影響（古いクライアントや古いオンプレミス DC/信頼関係との整合性）は確認が必要です。
  • 利用可能リージョン: AWS Managed Microsoft AD が利用可能なほとんどのリージョンで有効化されていますが、中東（UAE、Bahrain）の各リージョンでは未対応です。
  • 公式の管理ガイド（AWS Directory Service Administration Guide）に詳細な構成手順や LAPS の運用方法が記載されています。

影響範囲・利用シーン ​

  • 対象ユーザー: Windows ドメインをクラウド上で運用するシステム管理者、ID/アクセス管理者、セキュリティチーム
  • 利用シーン: ドメイン参加したサーバー/クライアントのローカル管理者パスワード管理（LAPS）や、強化された認証・特権管理機能を利用したセキュリティ強化
  • 運用効果: LAPS によりローカル管理者パスワードの漏洩リスクを低減し、特権アクセスの管理が容易に。機能レベルの向上により認証セキュリティが強化されるため、侵害リスクの低減や監査対応がしやすくなる
  • 地域影響: 中東（UAE、Bahrain）リージョンでは本機能が有効化されていないため、これらリージョンのユーザーは利用不可

技術的な注意点 ​

  • IAM権限: ディレクトリ設定の参照や LAPS 用の権限委譲設定を行うため、適切な Directory Service と AD 内の管理権限が必要です
  • リージョン制限: AWS Managed Microsoft AD が提供されているほとんどのリージョンで有効。ただし Middle East (UAE) と Middle East (Bahrain) では未対応です
  • 互換性: ドメイン機能レベル 2016 への引き上げにより、非常に古い Windows Server ドメインコントローラー（例: 2003/2008）やそれらに依存する機能との互換性問題が起こる可能性があります。オンプレミスとの信頼関係やレガシークライアントの互換性を事前に検証してください
  • LAPS設定: 機能自体は有効化されますが、クライアントに対して LAPS を適用するにはグループポリシーの設定と AD 内でのアクセス許可（ms-Mcs-AdmPwd 属性への読み取り権限の制御など）が必要です
  • ロールバック: アップグレードは AWS により自動適用されており、ドメイン機能レベルのダウングレードは通常できません。事前に影響評価とテストを行ってください
  • コスト: 機能レベルのアップグレード自体に関する追加料金の案内はありませんが、互換性確認やポリシー変更、テストのための運用コストは発生する可能性があります

参考情報 ​

[Directory Service] AWS Managed Microsoft AD now supports Kerberos Encryption audit event logs ​

概要 ​

AWS Managed Microsoft ADがKerberosの暗号化監査イベント（Event ID 201–209）をAmazon CloudWatch Logsへ転送できるようになりました。これにより、RC4とAESなどクライアント／サービスが使用している暗号方式の可視化が可能になります。

変更内容・新機能の詳細 ​

今回の追加機能により、AWS Managed Microsoft ADはKerberos Encryption auditイベント（Event ID 201–209）をCloudWatch Logsへフォワードできます。各イベントはKerberos認証時に使用された暗号方式（例: RC4, AES）に関する情報を提供し、どのクライアントやサービスがRC4を使用しているか、あるいはAESへ移行済みかを把握できます。フォワードの有効化はAWS Directory Serviceコンソールの対象ディレクトリの「Network and Security」タブから行い、CloudWatch Logs転送をオンにするだけで開始できます。転送されたログはCloudWatch Logsで確認・検索・フィルタリングし、必要に応じてロググループの保持期間設定やアラーム、Insightsクエリを使った分析が可能です。セキュリティ上はAESの利用が推奨され、ログからの可視化を踏まえてクライアントのアップグレードや構成変更（GPOやSSPI設定の見直し）を検討できます。本機能はAWS Managed Microsoft ADが提供されている全リージョンで利用可能ですが、Middle East (UAE) と Middle East (Bahrain) リージョンは除きます。

影響範囲・利用シーン ​

  • 対象ユーザー: Windowsドメイン管理者、アイデンティティ／アクセス管理担当者、SRE/セキュリティ運用チーム
  • 利用シーン: Kerberos認証で実際に使われている暗号方式（RC4 vs AES）の検出と監査。レガシークライアントの洗い出しや段階的な暗号強化（AESへの移行）計画に利用
  • 運用効果: 暗号方式の可視化によりRC4利用リスクの特定と対応が容易になり、暗号化強度向上によるセキュリティ改善と移行計画の迅速化が可能

技術的な注意点 ​

  • IAM権限: ディレクトリのログ転送設定を変更できるDirectory Serviceの管理権限と、CloudWatch Logsへログを作成/書き込みするための権限（例: logs:CreateLogGroup, logs:CreateLogStream, logs:PutLogEvents）が必要です
  • リージョン制限: AWS Managed Microsoft ADが提供されるリージョンで利用可能。ただし Middle East (UAE) と Middle East (Bahrain) リージョンは未対応です
  • コスト: CloudWatch Logsのログ受信・保管・クエリ実行に対して標準の課金が発生します。ログ量と保持期間によって費用が増加するため事前に見積もりと保持ポリシーの設定を検討してください
  • ログ内容／イベントID: 対象はKerberos Encryption auditイベント（Event ID 201–209）。各イベントは使用された暗号スイートの種類や対象となるクライアント/サービス情報を含みます
  • 互換性注意: 古いOSやサードパーティアプリケーションはAESをサポートしておらず、RC4を継続する必要がある場合があります。AESへ移行する際はクライアント・アプリケーションの対応状況を確認し、グループポリシーやSSPI設定の変更を段階的に行ってください

参考情報 ​

AI要約はOpenAI APIによって生成されています。

Copyright © 2026