AWS What's New Digest

Appearance

2026年05月21日 ​

[Rds For Sql Server] Amazon RDS Custom now supports the latest GDR updates for Microsoft SQL Server ​

概要 ​

Amazon RDS Custom for SQL Server が Microsoft の最新 GDR（General Distribution Release）セキュリティ更新をサポートしました。SQL Server 2019 と 2022 向けの指定 CU+GDR パッチが RDS の各バージョンとして利用可能になっています。

変更内容・新機能の詳細 ​

今回のリリースでは、RDS Custom for SQL Server が以下の GDR 更新をサポートします：SQL Server 2019 CU32+GDR（RDS バージョン 15.00.4465.1.v1、KB5084816）および SQL Server 2022 CU24+GDR（RDS バージョン 16.00.4250.1.v1、KB5083252）。これらの GDR は CVE-2026-32167 と CVE-2026-32176 に関連する脆弱性修正を含みます。アップグレードは Amazon RDS 管理コンソール、または AWS SDK / CLI を使って実行可能で、適用前にスナップショット取得や検証環境での動作確認を行うことを推奨します。詳細な修正内容や追加の改善点は Microsoft の KB ドキュメント（KB5084816、KB5083252）を参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: Amazon RDS Custom for SQL Server を利用しているデータベース管理者、セキュリティ担当者、SRE/運用チーム
  • 利用シーンまたは効果: 公開されている CVE に対するセキュリティパッチ適用による脆弱性修正およびセキュリティ強化。コンプライアンス対応やセキュリティ運用の一環として即時適用が推奨される
  • 運用効果: 脆弱性リスクの低減とセキュリティポスチャの向上。パッチ適用に伴う短時間のダウンタイムや互換性確認が必要になるが、既知のセキュリティ問題を解消できる

技術的な注意点 ​

  • 対応 RDS バージョン: SQL Server 2019 -> 15.00.4465.1.v1（CU32+GDR KB5084816）、SQL Server 2022 -> 16.00.4250.1.v1（CU24+GDR KB5083252）
  • アップグレード方法: Amazon RDS 管理コンソール、AWS CLI（rds modify-db-instance 等）、AWS SDK から実行可能。メンテナンスウィンドウ指定や即時適用を選択可能
  • ダウンタイム/可用性: パッチ適用時にインスタンス再起動が発生する可能性あり。マルチAZ 構成でもフェイルオーバーや短時間の接続影響が出るため事前に計画を立ててください
  • バックアップ/復元: 事前に DB スナップショットやバックアップを取得してから適用することを強く推奨
  • 互換性/テスト: アプリケーション互換性や拡張機能（CLR、サードパーティドライバ等）に影響がないか検証環境でのテストを実施してください
  • IAM 権限: modify-db-instance や describe-db-instances 等の RDS 関連権限が必要。自動化する場合は適切な IAM ポリシーを付与してください
  • リージョン制限: 記載の更新はリージョン配信状況に依存します。対象リージョンで利用可能かコンソール/Describe API で確認してください
  • コスト: パッチ適用自体に追加料金は通常発生しませんが、テスト用インスタンスやスナップショット保管に伴うストレージコストが発生する可能性あり
  • 監査/通知: 更新適用は変更管理・監査ログに記録し、必要に応じて CloudWatch Events / EventBridge で通知を構成してください

参考情報 ​

[Security Hub] AWS Security Hub now uncovers identity risks from unused access ​

概要 ​

AWS Security Hubが組織全体の未使用のIAM権限、ロール、クレデンシャル（unused access）を検出して、既存の脅威・露出・ポスチャー所見と同じコンソールで可視化できるようになりました。実使用（過去90日）のアクセスに基づく最小権限ポリシーの自動生成もサポートし、スケールしてアイデンティティリスクを低減できます。

変更内容・新機能の詳細 ​

Security Hubは組織単位でIAMの未使用アクセスを検出し、既存の脅威・露出・ポスチャー所見と相関付けて表示します。組織でSecurity Hubを有効化すると、各メンバーアカウントに対してサービスリンクドのIAM Access Analyzerが自動で作成され、追加設定なしに未使用アクセス評価が可能になります。評価は過去90日間の実際のアクセスアクティビティに基づき、IAMプリンシパル（ユーザー／ロール／サービスプリンシパル等）やクレデンシャルの未使用を検出します。検出されたidentity findingsはリソース露出コンテキストと結び付けられるため、実際のリスクに基づいた優先度付けが可能です。さらに、実際の使用パターンに基づく推奨の最小権限ポリシーをオンデマンドで生成して、権限の見直しと攻撃面の縮小を支援します。これらの機能はSecurity Hubのワークフロー、Automation Rules、下流の統合（SIEMやITSMなど）と一貫した形で利用できます。該当機能はSecurity Hub Essentialsに含まれ、追加料金なしで利用可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: セキュリティ中央管理チーム、クラウドセキュリティエンジニア、IAM管理者
  • 利用シーン: 組織横断で未使用の権限や放置されたクレデンシャルを特定して優先的に是正する（権限削減／ローテーション／無効化）
  • 運用効果: 90日分の実利用に基づく所見とリソース露出の相関で、誤検出を低減し優先順位を明確化。最小権限ポリシー生成により権限縮小作業の工数を削減

技術的な注意点 ​

  • IAM権限: Security HubとIAM Access Analyzerの自動構成のために、組織とアカウント側でサービスリンクドロールの作成をブロックするポリシーがないことを確認してください
  • CloudTrail要件: 未使用アクセスの検出は実際のアクセスアクティビティに依存するため、CloudTrail（管理イベントやデータイベント）の有効化と適切なログ保持が推奨されます
  • 評価期間: 過去90日間のアクセスデータを使用して未使用を判断します（これより短期間の使用しか取れない場合は検出精度が低下します）
  • リージョン制限: Security Hubが利用可能なAWSリージョンでのみ機能します。利用前に対象リージョンでの提供状況を確認してください
  • 自動作成: 組織でSecurity Hubを有効化すると各メンバーアカウントにサービスリンクドIAM Access Analyzerが自動作成されます。組織の設定やガードレールにより作成できない場合があります
  • コスト: この未使用アクセス機能自体はSecurity Hub Essentialsに含まれ追加料金は不要とされていますが、Security Hubや関連サービス（CloudTrail、ログストレージ、SIEM連携等）にかかる通常のコストは発生します

参考情報 ​

[General] Security Hub Extended expands to 21 curated partner solutions across 9 categories ​

概要 ​

AWS Security Hub Extendedプランが、エンドポイント、アイデンティティ、メール、データ等9つのセキュリティカテゴリにわたり合計21のキュレート済みパートナーソリューションをサポートするよう拡張されました。各ソリューションは従量課金、単一請求、EDP自動適用、AWS Enterprise Support向けの統一レベル1サポートを提供します。

変更内容・新機能の詳細 ​

今回の拡張でSentinelOne（エンドポイント）、CyberArk（アイデンティティ）、Sublime（メール）、Varonis（データセキュリティ）、LayerX（ブラウザ）、Native Security（クラウド）、Zenity（AIセキュリティ）など7社を含む、合計21のキュレート済みパートナーソリューションがSecurity Hub Extendedに追加されました。Security Hub Extendedはフルスタックのエンタープライズ向けセキュリティ調達・展開・統合を簡素化するプランで、各パートナーの検知結果はOpen Cybersecurity Schema Framework（OCSF）スキーマで出力され、AWS Security Hubへ自動集約されます。これにより、エンドポイントやアイデンティティ、メール、ネットワーク、データ、ブラウザ、クラウド、AI、セキュリティ運用にまたがるリスクを一元的に可視化・対応できます。各ソリューションは従量課金（Pay-as-you-go）で価格が公開され、長期契約は不要、請求は単一のAWS請求書に統合されます。Enterprise Discount Program（EDP）の自動適用と、AWS Enterprise Support利用者向けの統一されたレベル1サポートが提供されるため、大規模組織での導入・運用がしやすくなっています。本拡張は既にSecurity Hubが利用可能な全てのAWS商用リージョンで提供開始済み（詳細はリージョン表を確認）。導入はSecurity Hubコンソールまたは製品ページから開始でき、既存のAWSサービスと組み合わせて、EventBridgeやSIEM/SOAR連携による自動化ワークフロー構築が可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: セキュリティアーキテクト、SRE/運用チーム、CISOやSOCチーム
  • 利用シーン: マルチレイヤー（エンドポイント〜クラウド〜AI）での脅威検知・相関分析、インシデント対応の自動化、ベンダー選択の柔軟化
  • 運用効果: 複数ベンダーの検知結果をOCSFで統一・集約できるため、トリアージと対応の迅速化、誤検知削減、運用負荷の軽減が期待できる
  • コスト影響: パートナーごとの従量課金が発生。請求は単一のAWS請求でまとめられるが、利用量増加に伴うコスト増加を想定する必要あり
  • リージョン: Security Hubが提供されるAWS商用リージョンで利用可能（ただし個別パートナーの機能や完全な地域対応は確認が必要）

技術的な注意点 ​

  • IAM権限: Security Hubの有効化、サードパーティ統合、Findingsの参照・イベントルール作成には適切なIAM権限が必要です（SecurityHubFullAccess等の確認を推奨）
  • リージョン制限: 記事では“Security Hubが利用可能な全商用リージョン”で提供とあるが、各パートナー機能やリージョンごとの細部はリージョン表で確認してください
  • コスト: 各パートナーは従量課金モデルで料金が公開されています。AWS側のSecurity Hub利用料金とパートナー課金が発生するため合計コストを見積もってください。EDPは自動適用されますが契約条件を確認してください
  • OCSF互換性: 参加ソリューションはOCSFスキーマで出力するため、Security Hub以外のSIEMや解析ツールに連携する際はOCSFを前提にパーシング/正規化を行う必要があります
  • サポート: AWS Enterprise Support契約者は統一レベル1サポートが利用可能。ただし深堀りの技術支援は各パートナー側サポートにエスカレーションされる場合があります
  • マルチアカウント/組織: 組織単位での有効化や中央集約設定を行う際は管理アカウント側の設定とクロスアカウントアクセスを設計してください
  • 長期契約: 長期コミットメントは不要ですが、長期的な予算やEDPの適用条件を踏まえた契約運用が必要です
  • データプライバシー/共有: セキュリティ検知結果が集約されるため、検知データに含まれる個人情報や機密情報の取り扱いポリシーを見直してください

参考情報 ​

[General] AWS announces ExtendDB, an open source DynamoDB-compatible adapter ​

概要 ​

AWSはオープンソースのDynamoDB互換アダプタ「ExtendDB」v0.1を発表しました。DynamoDBのAPIを実装し、PostgreSQLを参照ストレージとしてプラガブルなバックエンド上で動作することで、ローカルやオンプレ、エッジ環境でDynamoDBのプログラミングモデルを利用可能にします。

変更内容・新機能の詳細 ​

ExtendDBはDynamoDBのコントロールプレーンおよびデータプレーンAPI（テーブル操作、アイテム操作、Streamsを含む）を実装するオープンソースプロジェクトです。コアはDynamoDB互換のAPIアダプタとして動作し、ストレージ部分はプラガブルなバックエンド設計になっているため、ローンチ時の参照バックエンドはPostgreSQLですが、コミュニティや企業は新しいバックエンド実装を追加できます。これにより、開発者は既存のDynamoDB向けSDKやクライアントを大幅なコード変更なしに、ローカル開発、CI、オンプレ環境、またはネットワーク切断されたエッジサイトで利用できます。ExtendDBはAWSがメンテナンスし、Apache 2.0ライセンスでGitHub上で公開されています。なお現状はv0.1の初期リリースのため、完全な機能互換性やパフォーマンスの保証は無く、実稼働用途に移す際は対応しているDynamoDB APIの範囲や整合性、トランザクションやスループット制御、ストリームの永続性などを検証する必要があります。

影響範囲・利用シーン ​

  • 対象ユーザー: アプリケーション開発者、プラットフォームチーム、エンタープライズアーキテクト
  • 利用シーン: ローカル高忠実度開発／CIテスト、オンプレまたはオフラインのエッジ環境でDynamoDB形状のワークロードを動かす場面
  • 運用効果: SDKや既存コードをほぼ変更せずにDynamoDB互換のAPIを利用できるため、開発効率向上とクラウド依存の低減が期待できる
  • 規制対応: データをクラウドに出せない規制環境でDynamoDBモデルを採用できる
  • 移行シナリオ: クラウド⇄オンプレのハイブリッド運用や移行検証（オンプレでの動作検証後クラウドに切替）に利用可能

技術的な注意点 ​

  • 互換性: v0.1は初期リリースのため、DynamoDBの全APIや挙動を完全再現しているわけではありません。サポートされるAPIや制限はGitHubのドキュメントで確認してください
  • ストレージ: 参照バックエンドはPostgreSQL。バックエンドのトランザクション／整合性／パフォーマンス特性はDynamoDBと異なります。運用での性能評価が必要です
  • 接続設定: 既存のAWS SDKを使う場合はエンドポイントをExtendDBのホストに向ける必要があります（リージョン/認証設定も調整）。
  • 認証・セキュリティ: ExtendDB自体はオンプレ実行が前提のため、ネットワークアクセス制御やTLS、認証方式の整備は利用者側で実施してください
  • 運用コスト: ソフトウェアはApache 2.0で無償ですが、オンプレでの実行は基盤となるDB（例: PostgreSQL）の運用コスト・ストレージコストが発生します。クラウドのDynamoDBと比較したコスト評価が必要です
  • リージョン制限: Open sourceのためリージョン制限はありませんが、AWSのマネージドDynamoDB固有の機能（リージョンレプリケーション、オンデマンドキャパシティ等）はExtendDBでは提供されない可能性があります
  • ライセンス: Apache License 2.0で公開されています
  • 本番利用の注意: 本番運用で使う場合は、データ整合性、可用性設計、バックアップ/リストア、監査ログ、互換テストを十分に行ってください

参考情報 ​

[General] AWS Billing Conductor Improves Account Visibility with Billing Transfer Inventory ​

概要 ​

AWS Billing Conductorのコンソールに、請求転送（Billing Transfer）を受け入れたアカウントのうち、pro forma（事前見積り）請求データへのアクセスがまだセットアップされていないアカウントを一覧表示する新しい可視化ページと、該当状況のサマリを日次で受け取る通知連携が追加されました。現時点では米国東部（N. Virginia）リージョンで利用可能です。

変更内容・新機能の詳細 ​

変更点の技術的な説明:

  • 可視化ページ: AWS Billing Conductorコンソールに、請求転送招待を受諾済みであるにもかかわらずpro forma請求データにアクセスできないアカウントを検出して一覧表示するページが追加されました。これにより、招待受諾後に必要なBilling Groupの設定漏れなど、請求可視化のギャップを容易に特定できます。
  • pro formaデータの流れ: アカウントが請求転送招待を受諾すると、請求データは招待元アカウントへ転送されます。Billing ConductorでBilling Groupを適切に構成すると、Billing & Cost Managementの各種ツールでpro formaコストデータを横断的に参照できます。今回の機能は、受諾はされているがBilling Groupが未設定でpro formaデータを参照できないケースを特定します。
  • 通知連携: 日次サマリをAWS User NotificationsとAmazon EventBridge経由で配信する設定が可能になりました。通知チャネルはメール、チャットアプリ（記事記載の例: Slack、Microsoft Teams、Amazon Chime をサポートするAmazon Q Developer連携）、AWS Console Mobileアプリのプッシュ通知、Console Notifications Center等が利用できます。
  • 利用開始: コンソールの該当ページから状況を確認可能。EventBridge連携やUser Notificationsの設定方法は各ドキュメントに従って設定します。

影響範囲・利用シーン ​

  • 対象ユーザー: 財務/FinOpsチーム、請求管理者、組織アカウント管理者（Organizations管理者）
  • 利用シーン: 請求転送を受諾した子アカウントがpro formaデータにアクセスできているかを検出し、Billing Group構成漏れを発見して修正する際の運用ワークフロー
  • 運用効果: 請求データの見落としを減らし、コスト集計・レポートの完全性を確保。手動チェックを自動化して対応工数を削減し、課金/コスト分析の精度を向上させる

技術的な注意点 ​

  • IAM権限: Billing ConductorやBilling & Cost Managementの表示・編集権限（billingconductor:*、aws-portalやbilling関連の表示権限）およびEventBridgeやUser Notificationsの設定権限が必要です。必要なIAMポリシーを事前に確認してください。
  • リージョン制限: 本機能は現時点で US East (N. Virginia) リージョン（us-east-1）のみで提供されています。他リージョンでは利用できません。
  • コスト: EventBridgeのルール実行や通知配信チャネルによっては追加コストが発生する可能性があります（EventBridgeのイベント受信・配信料金、外部チャット連携の有償プランなど）。運用前に利用見積りを確認してください。
  • 設定上の注意: 「受諾済み」でもBilling Groupが未作成または未紐付けだとpro formaデータは参照できません。可視化ページで該当アカウントを確認後、Billing Conductorで該当Billing Groupの作成・設定を必ず実施してください。
  • 通知連携の前提: EventBridge連携やチャット連携（Amazon Q Developer等）は別途設定が必要です。チャネルによっては追加の認証やアプリ連携設定が必要となります。
  • 互換性/制限: 一部の通知チャネルや統合は今後拡張される可能性があるため、最新ドキュメントでサポート状況を確認してください。

参考情報 ​

[Fargate] ECS supports native integration with Amazon EBS volumes in GovCloud Regions ​

概要 ​

Amazon ECS が AWS GovCloud リージョンで Amazon EBS ボリュームのネイティブマウントをサポートしました。これにより、EBS をタスク単位でプロビジョニング／管理し、Fargate／EC2／Managed Instances 向けにストレージ集中型ワークロードを容易に実行できます。

変更内容・新機能の詳細 ​

ECS の EBS タスクアタッチ機能により、ECS はタスク起動時に EBS ボリュームを自動で作成・フォーマット（またはスナップショットから復元）し、コンテナへ接続します。対応する起動タイプは Fargate、EC2、Managed Instances で、GovCloud リージョンでも利用可能になりました。運用上はタスク定義で EBS ボリュームを指定し、ECS がボリュームのライフサイクル（作成・アタッチ・デタッチ・削除）を管理します。既存の EBS 機能（ボリュームタイプ、IOPS、スナップショットの使用）はそのまま利用でき、スナップショットを基に新しいボリュームを作成することでデータの複製や復元が可能です。ポイントとして、EBS はアベイラビリティゾーン（AZ）スコープのストレージであるため、タスクはボリュームと同一 AZ で実行される必要があります。また、Fargate 利用時は該当の Fargate プラットフォームバージョンで EBS サポートが有効であることを確認してください。

影響範囲・利用シーン ​

  • 対象ユーザー: GovCloud を利用するコンテナ開発者、SRE、データ処理やメディア変換、ML 推論をコンテナで実行するチーム
  • 利用シーン: ETL バッチやストレージ集約型のコンテナワークロードで永続ブロックストレージが必要なケース（スナップショットからの復元、ワークスペース保持等）
  • 運用効果: ECS によるタスク単位の EBS ボリューム管理で運用負荷が低減し、タスク起動ごとに確実なボリュームプロビジョニングとクリーンアップが可能になるため、データ整合性と運用効率が向上します

技術的な注意点 ​

  • IAM権限: ECS による EBS 操作を許可する IAM ポリシー（EC2/EBS の CreateVolume/AttachVolume/DeleteVolume など）をタスク実行ロールまたはサービスロールに付与する必要があります
  • リージョン制限: 本機能は AWS GovCloud リージョンで利用可能になりました。その他リージョンでのサポート状況は公式ドキュメントで確認してください
  • EBS の制約: EBS ボリュームは AZ スコープのため、タスクはボリュームと同一 AZ に配置されます。マルチ AZ で共有する用途には向きません
  • Fargate 注意: Fargate を利用する場合、EBS をサポートするプラットフォームバージョンかを確認してください
  • コスト: EBS ボリュームの使用料金（プロビジョニングされた容量、IOPS、スナップショットのストレージ等）が発生します。タスク起動ごとのボリューム作成／保持ポリシーによりコストが変動します
  • 互換性/性能: 利用するボリュームタイプ（gp3, io2 など）および IOPS/スループット要件はワークロードに応じて選定してください
  • 既存タスクへの影響: タスク定義の更新（volume 定義とマウントポイント指定等）が必要です

参考情報 ​

AI要約はOpenAI APIによって生成されています。

Copyright © 2026