AWS What's New Digest

Appearance

2026年07月03日 ​

[SageMaker] Amazon SageMaker Unified Studio now supports Terraform for provisioning ​

概要 ​

Amazon SageMaker Unified Studio のドメインを Terraform でプロビジョニングできるようになりました。open-source の terraform-aws-sagemaker-unified-studio モジュールを使って、バージョン管理されたテンプレートから環境を作成・管理できます。

変更内容・新機能の詳細 ​

今回の対応により、プラットフォームチームは既存の Infrastructure-as-Code (IaC) パイプラインに SageMaker Unified Studio を組み込み、開発/ステージング/本番アカウント間で一貫した環境を構築できます。公式モジュールは Unified Studio ドメインのインフラ（プロビジョニング済み IAM ロール含む）を作成する機能を提供し、サブモジュールでブループリント（blueprints）の有効化、ブループリントを組み合わせたプロジェクトプロファイルの構成、プロジェクトの作成を独立して行えます。既存の IAM ロールを使ってプロジェクトを作成することも可能です。実装は Terraform の AWS Cloud Control Provider 経由で行われ、これにより SageMaker Unified Studio のリソース（ドメイン、プロジェクト、ブループリント等）の作成・更新を Terraform の管理下に置けます。モジュールと例は GitHub（terraform-aws-sagemaker-unified-studio）に公開されており、利用可能リージョンは SageMaker Unified Studio の提供リージョンに準じます。

影響範囲・利用シーン ​

  • 対象ユーザー: プラットフォーム/インフラチーム、データサイエンス基盤担当、SRE/運用チーム
  • 利用シーン: CI/CD パイプライン内での SageMaker Unified Studio ドメインとプロジェクトの自動作成・再現性のある環境構築
  • 運用効果: 環境のコード化によりアカウント間で設定の一貫性を確保でき、手動設定ミスを削減。バージョン管理されたテンプレートで迅速な環境再構築と監査対応が容易に

技術的な注意点 ​

  • IAM権限: Terraform 実行主体に IAM の作成/更新権限、iam:PassRole、Cloud Control API へアクセスするための権限が必要です。既存ロールを利用する場合も iam:PassRole が必要です。
  • プロバイダ設定: モジュールは Terraform の AWS Cloud Control Provider（awscc/Cloud Control Provider）を利用します。Terraform と該当プロバイダの互換バージョンを事前に確認してください。
  • リージョン制限: この機能は Amazon SageMaker Unified Studio が提供されている全リージョンで利用可能です。使用前に対象リージョンで Unified Studio が有効か確認してください。
  • リソース/整合性: Cloud Control API 経由のリソース作成は一部整合性や遅延が発生することがあります。apply 時に待機や再試行が必要になるケースがあります。
  • コスト: Terraform 自体は無償ですが、プロビジョニングされる SageMaker リソース（ドメイン、ストレージ、実行インスタンス等）は通常の SageMaker 利用料金が発生します。事前にコスト見積りを行ってください。
  • 既存環境との統合: 既存の IAM ロールやネットワーク (VPC/サブネット/セキュリティグループ) を組み合わせて利用できますが、モジュールの入力変数に従い適切に設定してください。

参考情報 ​

[Ec2] Amazon EC2 X8i instances are now available in additional regions ​

概要 ​

Amazon EC2のメモリ最適化インスタンス「X8i」が、アジア太平洋のソウル、マレーシア、東京リージョンで利用可能になりました。SAP認定のカスタムIntel Xeon 6プロセッサを搭載し、前世代X2i比で大幅に性能とメモリ帯域を向上させています。

変更内容・新機能の詳細 ​

X8iインスタンスはAWS専用のカスタムIntel Xeon 6プロセッサを搭載したメモリ最適化ファミリーで、SAP認定を受けています。主な特徴は次のとおりです：

  • メモリ容量は最大6TB（X2iの1.5倍）まで対応。
  • メモリ帯域はX2i比で最大3.3倍。
  • 性能改善の目安: 最大43%の総合性能向上、SAPSは最大50%向上、PostgreSQLは最大47%高速化、Memcachedは88%高速化、AI推論は46%高速化。
  • 14種類のインスタンスサイズ（large～96xlarge）を用意し、2つのベアメタルオプションも提供。
  • 購入方法はSavings Plans、オンデマンド、スポットに対応。 これらにより、SAP HANA、大規模データベース、データ分析、EDA（電子設計自動化）などのメモリ集約型ワークロードで高いスループットと低レイテンシを実現します。

影響範囲・利用シーン ​

  • 対象ユーザー: SAP運用者、データベース管理者、データ分析者、EDAエンジニア
  • 利用シーン: SAP HANAや大規模インメモリDB、メモリ集約型分析ジョブ、低レイテンシが求められるAI推論やキャッシュ（Memcached）ワークロード
  • 運用効果: インスタンスあたりのスループット向上によりクエリやトランザクションの高速化、メモリ容量増加でより大きなワークロードを単一インスタンスで処理可能になりスケーリング設計の簡素化が期待できる

技術的な注意点 ​

  • IAM権限: EC2起動に必要な権限（ec2:RunInstancesや関連リソースの作成権限）を事前に確認してください
  • リージョン制限: 2026-07-02時点でアジア太平洋（ソウル）、アジア太平洋（マレーシア）、アジア太平洋（東京）で利用可能。その他リージョンでは未展開の可能性があります
  • コスト: 高性能・大容量メモリのため従来世代より時間単価は上がる可能性がありますが、性能向上によりコスト効率（処理時間あたり）は改善する場合があります。Savings Plans、オンデマンド、スポットが利用可能です
  • SAP/ソフトウェア互換性: SAP認定済みですが、導入時はSAPの導入ガイドラインやサポートマトリクスに従って検証してください
  • キャパシティ: 新規リージョン導入直後は一時的なキャパシティ制限や在庫不足が発生することがあるため、プロビジョニング計画を早めに行ってください
  • ベアメタル/サイズ選定: 14サイズとベアメタルオプションがあるためワークロードのメモリ/CPU/インスタンス密度要件に応じて最適なサイズを選択してください

参考情報 ​

[Ec2] Amazon EC2 Dedicated Hosts now support AMD SEV-SNP ​

概要 ​

Amazon EC2のDedicated HostsでAMD SEV-SNP（Secure Encrypted Virtualization - Secure Nested Paging）が利用可能になりました。これにより、物理サーバを専有した状態で機密計算（confidential computing）ワークロードを実行できます。

変更内容・新機能の詳細 ​

今回の更新で、Dedicated HostをSEV‑SNP対応で割り当て、同ホスト上にSEV‑SNP対応のインスタンスを起動できるようになりました。主な仕組みは、ホスト割当時にAMDのセキュリティファームウェアが該当ホストに適用され、以後そのDedicated Host上で起動するインスタンスはSEV‑SNPの保護下で動作します。これにより、顧客はインスタンス配置の制御やホストアフィニティ（同じ物理サーバ上にインスタンスを継続配置する能力）を保ったまま、暗号化メモリや攻撃面の削減といったSEV‑SNPの利点を得られます。記事では「すべてのAWS商用リージョンで、AMDインスタンスを提供しているリージョンで利用可能」と明記されています。実際の利用には、対応するインスタンスタイプ／AMI／ゲストOSの要件やホスト割当・解放の運用フローをドキュメントで確認する必要があります。

影響範囲・利用シーン ​

  • 対象ユーザー: セキュリティ要求が高いアプリケーションを運用するエンタープライズ、金融・医療などのコンプライアンス重視の組織、ハイレベルな配置制御が必要なSRE/運用チーム
  • 利用シーン: 機密データを扱うVMベースのワークロード（暗号化メモリが必要なデータ処理、商用/規制準拠の隔離環境、BYOLやライセンス制御で物理サーバ単位の専有が必要なケース）
  • 運用効果: Dedicated Hostの配置制御とSEV‑SNPによるメモリ暗号化・整合性保護の組み合わせで、物理レベルでの分離・検証可能な機密環境を構築できる（監査・コンプライアンス対応が容易になる）

技術的な注意点 ​

  • IAM権限: Dedicated Hostの割当や管理、インスタンス起動にはec2:AllocateHosts／ec2:ReleaseHosts／ec2:DescribeHosts／ec2:AssociateIamInstanceProfile／ec2:RunInstances等の権限が必要（最小権限は環境に応じて設計してください）
  • リージョン制限: AWSの説明によれば「AMDインスタンスを提供しているすべての商用リージョン」で利用可能。実際の各リージョンでの対応インスタンスタイプはドキュメントで確認してください
  • 対応イメージ／OS: SEV‑SNPの恩恵を最大化するには、ゲストOSやカーネル、VMツールがSEV‑SNPをサポートしている必要があります。用途によっては特定のAMIやカーネル設定が必要ですので事前検証を推奨します
  • ホスト管理: Dedicated Hostは専有物理サーバの割当・解放やホストアフィニティの管理が運用上必要になります。ホストの割当には時間がかかる場合があり、インスタンスの配置戦略（スケールアウト／可用性ゾーン冗長化）に影響します
  • コスト: Dedicated Hostはホスト単位の課金体系が適用され、通常の共有ホストとは別の料金が発生します。SEV‑SNP自体に追加課金があるかはドキュメントで確認してください。料金とキャパシティ計画を考慮した設計が必要です
  • ソフトウェア／証明書: AWS側でホストにAMDセキュリティファームウェアを適用すると記載されていますが、リモートアテステーションや測定値の取得方法、キー管理や監査ログ連携などは利用シナリオに応じて追加設計が必要です

参考情報 ​

[General] Amazon SageMaker HyperPod now supports AMI versioning and auto-patching ​

概要 ​

Amazon SageMaker HyperPodは、クラスター上で稼働するAMIのバージョン可視化と自動セキュリティパッチ適用（オプトイン）をサポートし、長時間実行する学習ジョブへの影響を抑えつつクラスターの一貫性とセキュリティを向上させます。

変更内容・新機能の詳細 ​

主な新機能は以下の通りです。1) AMIバージョニング: 各インスタンスグループ／ノードで稼働しているAMIのバージョンをセマンティックバージョン（major.minor.patch）で表示でき、バージョンドリフトの検出やUpdateClusterSoftware APIを使った旧バージョン（NVIDIAドライバ、CUDA、その他ソフトウェアスタックを含む）へのロールバックが可能です。2) オートパッチ（Auto-patching）: インスタンスグループ単位でオプトインできる機能で、ノードがアイドル状態になったタイミングで後方互換性のあるセキュリティパッチのみを適用します。これにより稼働中のワークロードへの影響を抑えつつ、NVIDIAドライバ、CUDA、OSカーネルなどのメジャー／マイナー変更は行わない設計です。オートパッチはCreateClusterまたはUpdateCluster APIで有効化します。3) AMIサポートポリシー: 各AMIバージョンの公開サポート期間（パッチ提供期間）を明示するポリシーが公開され、サポート期限を過ぎるとHyperPodはそのAMI向けのセキュリティパッチを配布しなくなります。対象はAmazon EKSでオーケストレーションされたHyperPodクラスターで、SageMaker HyperPodがサポートされている全リージョンで利用可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: MLプラットフォーム／SRE／運用チーム、データサイエンティスト、セキュリティチーム
  • 利用シーン: 大規模なファウンデーションモデルの学習・デプロイ基盤でのAMIバージョン管理と自動セキュリティパッチ適用
  • 運用効果: バージョンドリフトの早期検出と非破壊的なセキュリティパッチ適用により運用負荷を低減し、長時間ジョブの中断リスクを最小化

技術的な注意点 ​

  • IAM権限: CreateCluster、UpdateCluster、UpdateClusterSoftwareなどのSageMaker関連APIを呼び出す権限が必要です（sagemaker:CreateCluster, sagemaker:UpdateCluster, sagemaker:UpdateClusterSoftware 等）。
  • リージョン制限: Amazon EKSでオーケストレーションされたHyperPodクラスターが対象で、SageMaker HyperPodがサポートされているリージョンで利用可能です。未対応リージョンでは利用できません。
  • コスト: 追加のサービス料金は明示されていませんが、パッチ適用に伴うノードの再起動や入れ替えが発生した場合はインスタンス時間や関連リソースのコストに影響する可能性があります。テスト環境で挙動を確認してください。
  • オプトインと適用単位: オートパッチはインスタンスグループ単位のオプトイン機能で、CreateClusterまたはUpdateCluster APIで有効化します。
  • 互換性: オートパッチは後方互換性のあるセキュリティパッチのみを適用し、NVIDIAドライバ／CUDA／OSカーネルのメジャー／マイナー更新は行いません。意図的なソフトウェアスタック変更はUpdateClusterSoftware APIで実施します。
  • サポート期間: 新しいAMIサポートポリシーで各AMIバージョンのサポート期間が公開され、期間終了後はHyperPodによるセキュリティパッチ提供が停止します。期限管理を運用フローに組み込んでください。
  • 運用推奨: 本番への適用前にステージング環境でオートパッチの挙動（アイドル判定、パッチ適用タイミング、ロールバック手順）を検証し、監視・アラートを整備してください。

参考情報 ​

[Config] AWS Config now supports 8 new resource types ​

概要 ​

AWS Configが8つのリソースタイプを新たにサポートしました。これにより監査・評価・検出・自動修復の対象が拡大し、より広範なリソースの構成変更やコンプライアンスを追跡できるようになります。

変更内容・新機能の詳細 ​

今回追加されたのは以下の8つのリソースタイプです：AWS::ApiGateway::DomainNameV2、AWS::ApiGatewayV2::VpcLink、AWS::EC2::VPCEncryptionControl、AWS::NetworkFirewall::ContainerAssociation、AWS::OpenSearchServerless::SecurityPolicy、AWS::OSIS::Pipeline、AWS::S3Vectors::VectorBucket、AWS::S3Vectors::VectorBucketPolicy。これらは、設定レコーダーで「すべてのリソースタイプを記録」している場合は自動的に追跡対象に追加されます。新規リソースタイプはConfig Rules（マネージドルール／カスタムルールの評価対象）およびConfig Aggregator（複数アカウント／リージョンの集約）でも利用可能になっており、構成アイテムの取得、差分検出、履歴保存、ルール評価、そして自動修復（Remediation）ワークフローのトリガに使えます。リージョン対応は「リソースが利用可能なAWSリージョン」で有効となるため、サービスごとの地域サポート状況に依存します。特にOpenSearch Serverless、OSIS、S3 Vectorsなど比較的新しいサービスはリージョン制限があるため、実際の利用可否はリージョン毎に確認してください。

影響範囲・利用シーン ​

  • 対象ユーザー: クラウド運用者、セキュリティ/ガバナンス担当、SRE、コンプライアンスチーム
  • 利用シーン: 新しくサポートされたAPI Gateway、EC2暗号化制御、Network Firewallコンテナ関連、OpenSearch Serverless/OSIS、S3 Vectorsに対する構成の監査・コンプライアンス評価・変更検出
  • 運用効果: これらリソースの設定履歴と差分を追跡できるため、セキュリティ監査やポリシー違反検出、インシデント調査、及び自動修復ルールによる対応が容易になる

技術的な注意点 ​

  • IAM権限: Configが各リソースの構成情報を取得できるように、必要な読み取り権限（および自動修復を行う場合は適切な実行ロール権限）を確認・付与してください
  • リージョン制限: 記事記載どおり「リソースが利用可能なリージョン」で有効です。OpenSearch Serverless、OSIS、S3 Vectorsなどはリージョン差があるため事前にリージョン対応状況を確認してください
  • コスト: 新たに記録されるリソースが増えると、AWS Configの記録・評価・保持に関する料金が増加する可能性があります。Configの料金体系（記録単位、スナップショット保管、ルール評価）を確認のうえ、必要に応じて記録対象を限定してください
  • 設定変更: すでに「すべてのリソースタイプを記録」を有効にしている場合は自動で追跡されますが、個別にリソースタイプを指定している場合は設定にこれらを追加する必要があります。Aggregatorやルールで新しいタイプを評価対象に含める設定の見直しも行ってください
  • 互換性/ルール: マネージドルールがまだ新タイプに対応していない場合は、カスタムルール（Lambda/AWS Config Advanced）で評価を実装する必要があります
  • 監査運用: 新リソースの構成履歴が増えるため、ログ保持期間やストレージ、レポートの設計見直しを検討してください

参考情報 ​

AI要約はOpenAI APIによって生成されています。

Copyright © 2026