AWS What's New Digest

Appearance

2026年07月15日 ​

[Opensearch Service] Amazon OpenSearch Service now supports the Agent Toolkit for AWS with a curated skill ​

概要 ​

Amazon OpenSearch ServiceがAgent Toolkit for AWSと連携し、Claude CodeやKiro、CursorなどのAIコーディングエージェントから自然言語でOpenSearchドメインやOpenSearch Serverlessコレクションを操作・検索できるようになりました。AWS MCPサーバーとキュレーテッドなamazon-opensearch-serviceスキルを介してAPI呼び出しを自動化します。

変更内容・新機能の詳細 ​

本統合はAWS MCP (Model Context Protocol) サーバーがエージェントの命令を受け、実際のAWS API呼び出しを代行する仕組み（MCPサーバー + スキル）で動作します。提供されるamazon-opensearch-serviceスキルは自然言語要求を適切な機能へルーティングします。サポートする主要な領域は以下の5点です：

  • Migration: セルフホストのOpenSearchからAmazon OpenSearch ServiceまたはOpenSearch Serverlessへ移行するための支援（データ移行や設定変換等を含む）。
  • Operations: ドメインやコレクションのプロビジョニング、設定変更、スケーリングなどの運用作業の自動化。
  • Search: ベクトル検索、セマンティック検索、ハイブリッド検索、RAG（Retrieval-Augmented Generation）などの検索ワークフローの構築支援。
  • Log analytics: PPL（Piped Processing Language）およびOpenSearch Ingestionを用いたログ解析ワークフローの実行・解析。
  • Trace analytics: OpenTelemetryを用いた分散トレースの調査・可視化支援。 技術的特徴として、マネージドドメインとServerlessコレクションの両方、すべてのバージョンで動作し、既存インフラの変更は不要とされています。追加料金は発生しません。利用開始は、エージェント側にaws-data-analyticsプラグインをインストールするだけで、MCPサーバー設定とOpenSearchスキルがまとめて構成されます。詳しいセットアップと使い方はドキュメント（MCP ServerおよびAgent Skills）を参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: プラットフォーム/クラウドエンジニア、SRE、データサイエンティスト、開発者チーム
  • 利用シーン: 自然言語でのクエリ実行やドメイン管理（例：検索機能構築、ログ分析クエリ作成、トレース調査、環境プロビジョニングの自動化）
  • 運用効果: 日常的な運用タスクや検索パイプライン構築の工数削減、非専門家でも高度な検索・解析を実行可能にすることで開発速度と障害対応時間を短縮
  • 対応範囲: マネージドドメインとOpenSearch Serverlessコレクションの両方、全バージョン対応（記事記載）
  • 制限・前提: エージェントがAWS APIを実行するためのMCPサーバー設定と適切なIAM権限が必要。VPC内のドメインに対してはネットワーク到達性の確認が必要

技術的な注意点 ​

  • IAM権限: エージェント/MCPサーバーが実行するAPIに対して最小権限のIAMロール/ポリシーを付与してください（ドメイン管理、検索、OpenSearch Ingestionなど個別権限）。CloudTrailでの監査を有効化することを推奨します
  • リージョン制限: Amazon OpenSearch ServiceおよびOpenSearch Serverlessが提供されているAWSリージョンで利用可能。サービス未対応リージョンでは利用不可
  • コスト: エージェント機能自体に追加料金は発生しないが、OpenSearchの利用（インスタンス、ストレージ、Serverlessリクエスト等）やデータ転送、OpenSearch Ingestionのリソース消費による通常の料金は発生します
  • ネットワーク/接続: VPC内のOpenSearchドメインを操作する場合、MCPサーバーまたはエージェントがアクセス可能であること（VPCエンドポイントやプロキシ設定など）を確認してください
  • 導入手順: エージェント側へaws-data-analyticsプラグインをインストールし、MCPサーバー設定とamazon-opensearch-serviceスキルを有効化する必要があります。セットアップ手順をドキュメントに従って実施してください
  • セキュリティ運用: 自動でAPIを実行するため、意図しないリソース変更を防ぐために承認フローやジョブ実行ログの保管（CloudWatch Logs / CloudTrail）を整備してください
  • 互換性: 記事によれば全バージョン対応だが、本番導入前にステージング環境で動作確認を行ってください

参考情報 ​

[RDS] Amazon RDS for Db2 is now available in additional AWS Commercial regions ​

概要 ​

Amazon RDS for Db2がアジア太平洋（タイ、マレーシア、台北）、メキシコ（中央）、カナダ西部（カルガリー）の5リージョンで利用可能になりました。RDSがDb2のプロビジョニング、可用性、スケーリングを簡素化します。

変更内容・新機能の詳細 ​

新規リージョンへの提供により、これらのリージョンで数分でDb2データベースを作成できるようになります。Amazon RDS for Db2は最適なパフォーマンスとなるよう自動構成されたパラメータでデータベースをプロビジョニングし、Multi-AZ構成を選択した場合は別のアベイラビリティーゾーンに同期レプリケーションを行い高可用性を確保します。ライセンス面では、AWS Marketplace経由の時間課金（従量課金）でDb2ライセンスを購入するか、既存のライセンスを持ち込む（BYOL）方式のいずれかを選べます。いずれのライセンスモデルもStandard/Advanced両エディションで利用可能です。さらに、開発・テスト用途向けに商用ライセンス料が不要なDb2 Community Edition（Standard/Advancedと同等の機能を提供）を選択して、ライセンスを気にせずに検証や開発を始められます。詳細はドキュメントと価格ページを参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: アプリケーション開発者、DBA、クラウドインフラ運用チーム、オンプレDb2からの移行検討者
  • 利用シーン: ローカルリージョンでのDb2稼働が必要なアプリケーションのクラウド移行、開発/テスト環境の迅速な立ち上げ、リージョン分散による災害対策（Multi-AZ構成）
  • 運用効果: RDSによる自動プロビジョニング・パラメータ管理・同期レプリケーションにより導入工数と運用負荷が低減され、リージョン近接性によるレイテンシ改善や規制対応が容易になる
  • コスト影響: ライセンスの調達方法（Marketplaceの時間課金 vs BYOL）とインスタンス/ストレージ利用により総コストが変動。Community Editionを開発/テストで利用すればソフトウェアライセンス費用を削減できる

技術的な注意点 ​

  • リージョン制限: 本発表で追加されたのは Asia Pacific (Thailand), Asia Pacific (Malaysia), Asia Pacific (Taipei), Mexico (Central), Canada West (Calgary) の5リージョンのみ。利用前に対象リージョンでの提供状況を確認してください
  • ライセンス: AWS Marketplaceの時間課金（PAYG）またはBYOLが選択可能。BYOL利用時はIBMのライセンス条件遵守が必要（ライセンス移動の可否等を確認）
  • Multi-AZ: Multi-AZ構成では別AZへの同期レプリケーションで高可用性を提供しますが、リージョン内のAZ設計やフェイルオーバーの挙動を事前に検証してください
  • 運用管理: RDS標準のバックアップ、スナップショット、パッチ適用、モニタリング機能が利用可能（設定により自動/手動の選択が可能）
  • セキュリティ/IAM権限: DB作成やバックアップ、スナップショット、リストアには適切なIAMポリシー（例: rds:CreateDBInstance 等）が必要です。KMSキーを使った暗号化を行う場合は追加のIAMとKMS権限が必要になります
  • コスト: DBのインスタンス時間、ストレージ、I/O、バックアップ保持に対する課金は別途発生します。Community Edition利用時もインフラコストは発生します
  • 検証環境: Db2 Community Editionは開発/テスト向けに商用ライセンス料が不要ですが、本番利用の可否やサポート要件は確認してください

参考情報 ​

[Lambda] AWS Lambda announces self-managed code storage ​

概要 ​

AWS Lambdaは、デプロイパッケージをLambda管理ストレージにコピーせずに、お客様が管理するAmazon S3バケットを直接参照してコードを実行できる「セルフマネージドコードストレージ」を発表しました。これによりコード保存上限の問題を回避し、関数作成・更新後の起動時間を短縮できます。

変更内容・新機能の詳細 ​

従来、Lambdaは関数やレイヤーのデプロイパッケージを作成時にLambda管理下のストレージへコピーしており、リージョンごとに75GBの上限にカウントされていました。今回の機能ではS3上のオブジェクトをLambdaがコピーせずに参照（reference）するモードを追加し、バケット容量に依存して任意量のコード・レイヤーを保持できます。セルフマネージドを使うには、Create/Updateの際にS3ObjectStorageModeパラメータをREFERENCEに設定します（AWS CLI、CloudFormation、AWS SAM、SDK、コンソールで対応）。Lambdaサービスプリンシパルに対してs3:GetObjectとs3:GetObjectVersionの権限をバケットまたはオブジェクトに付与する必要があります。追加のLambda課金は発生せず、標準のS3ストレージ料金と、該当する場合はクロスリージョン転送料金が適用されます。加えて、Lambda管理ストレージのデフォルト上限は75GBから300GBへ引き上げられます。セルフマネージドは全ての商用リージョンで利用可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: Lambdaで多数の関数やレイヤー（大容量コード）を管理する開発者・SRE/運用チーム
  • 利用シーン: 大量のデプロイパッケージを持つマイクロサービス、多数のレイヤーを使うアプリケーション、CI/CDで大きなアーティファクトをS3に保管しているワークフロー
  • 運用効果: Lambdaがコピーを行わないため関数作成/更新後のコールドスタートが短縮され、Lambda管理ストレージの割当上限対応のためのサポートチケットが不要になる
  • コスト影響: Lambda側の追加料金は無く、S3ストレージ料金と必要に応じたクロスリージョン転送料金が発生する

技術的な注意点 ​

  • IAM権限: Lambdaサービスプリンシパルに対してs3:GetObjectとs3:GetObjectVersionを付与してください。バケットポリシーやKMSキーのアクセス許可（SSE-KMSを使用する場合はkms:Decryptなど）も必要です
  • オブジェクトの不変性: 参照モードはオブジェクトをコピーしないため、オブジェクトを上書きするとデプロイ内容が変わります。バージョニングや不変的なオブジェクト名／オブジェクトバージョンIDを使って再現性を確保してください
  • デプロイ手順: S3ObjectStorageMode=REFERENCE を CreateFunction / UpdateFunction 時に指定します（AWS CLI、CloudFormation、AWS SAM、SDK、コンソールが対応）
  • 互換性と移行: 既存の関数は明示的に更新してREFERENCEモードに切り替えない限り従来のLambda管理ストレージを使い続けます。切替時はアクセス権とオブジェクトの整合性を確認してください
  • リージョン制限: 全ての商用AWSリージョンで利用可能と発表されています（ただし特殊なAWSリージョンやGov/Chinaは別途確認してください）
  • コスト: Lambdaの追加課金はありません。S3の標準ストレージ料金と、クロスリージョンで参照する場合のデータ転送料金が適用されます
  • 運用管理: S3のライフサイクルやアクセスログ、暗号化ポリシーを適用して保守性とセキュリティを確保してください
  • 既存上限変更: Lambda管理のデフォルトコードストレージ上限は75GB→300GBに引き上げられています（セルフマネージドを使用しない場合に影響）

参考情報 ​

[Elastic Disaster Recovery] AWS Elastic Disaster Recovery now supports Amazon EBS volume initialization rate ​

概要 ​

AWS Elastic Disaster Recovery (AWS DRS) が Amazon EBS のボリューム初期化レート（volume initialization rate）に対応しました。リカバリ時やドリルで復元された EBS ボリュームが短時間でフル性能に到達するようになります。

変更内容・新機能の詳細 ​

背景：EBS のスナップショットからボリュームを復元する際、データはバックグラウンドで Amazon S3 から遅延読み込み（lazy load）されます。読み込み済みでないブロックに対する I/O は初期化完了まで遅くなる場合があります。新機能：DRS 管理下の EC2 ランチテンプレートに対してボリューム初期化レートを設定できるようになり、DRS はリカバリ時にボリューム作成時に自動でそのレートを適用します。これにより、特にデータベースなど I/O 集中型ワークロードで、予測可能なタイムラインでストレージ性能が回復し、RTO（Recovery Time Objective）達成に寄与します。運用上の扱い：一度ランチテンプレートに設定すれば、DRS が行うライトサイズ調整やディスク変更のためのアップデートでもその設定は保持されます。適用不能なケースがあってもリカバリはそのまま実行され（ブロックされない）、代わりに初期化レート無しで復旧します。可用性と課金：EBS のボリューム初期化レートが提供されている全リージョンおよび環境で利用可能です。料金はスナップショットのフルサイズ（GB）と指定したレートに基づき課金されます（詳細は Amazon EBS の料金ページ参照）。

影響範囲・利用シーン ​

  • 対象ユーザー: 災害復旧担当者、SRE、データベース管理者、DR/BCP を運用するシステム管理者
  • 利用シーンまたは効果: 本番切替や DR ドリルで復元した EBS ボリュームが短時間でフル I/O 性能を発揮する必要があるケース（データベース、トランザクション系アプリケーション、低レイテンシが求められるサービス）
  • 運用効果: 復旧後のストレージ性能回復が予測可能になり、RTO の短縮と安定化につながる。復旧直後のパフォーマンス低下による障害や手動介入のリスクを低減する。

技術的な注意点 ​

  • IAM権限: ランチテンプレートを編集できる権限（例：EC2 のランチテンプレート作成/更新権限）や、DRS が設定を適用するためのサービスロール権限を事前に確認してください。
  • リージョン制限: EBS のボリューム初期化レートが提供されているリージョンと環境で利用可能です。利用前に対象リージョンでの提供有無を確認してください。
  • コスト: 追加料金が発生します。課金はスナップショットのフルサイズ（GB）と指定した初期化レートに基づくため、復旧コストが増加する点を見積もりに含めてください。詳細は Amazon EBS の料金ページを参照してください。
  • 互換性と運用: 設定は DRS 管理の EC2 ランチテンプレートに対して一度設定すれば保持されますが、特定のリカバリケースで適用できない場合には DRS は初期化レート無しで復旧を完了するため、すべての復旧で必ず同じ効果が得られるとは限りません。
  • 監視: 復旧後の I/O 性能を監視し、期待する性能回復が確認できるようモニタリング・アラートを設定してください。

参考情報 ​

[General] AWS Lambda console provides a one-click setup prompt for coding agents ​

概要 ​

AWS Lambdaコンソールに、コーディングエージェント向けのワンクリック設定プロンプトが追加され、エージェントに対してAWS ServerlessスキルとServerless Model Context Protocol (MCP) サーバーの設定を自動的に行えるようになりました。サーバーレス開発の初期設定が簡素化され、ベストプラクティスを組み込んだ開始が可能です。

変更内容・新機能の詳細 ​

Lambdaコンソール内で表示されるワンクリック設定プロンプトは、開発者が使っているコーディングエージェントに対して「Agent Toolkit for AWS」にホストされているAWS ServerlessスキルとServerless MCPサーバーのインストールおよび設定手順を指示します。プロンプトはLambdaエージェントセットアップガイドを参照し、Claude Code、Kiro、Cursor、GitHub Copilot、Codex、Devin Desktop、OpenCodeなど一般的なエージェント向けのインストールコマンドと合わせて、3つの専門的なLambdaスキル（MicroVM、Managed Instances、durable functions）とServerless MCPの構成方法を案内します。ローカルにAWS認証が未設定の場合は、signing-in-to-awsスキルを用いた認証接続の手順も提示されます。この機能はLambdaが利用可能な全ての商用リージョン（中東バーレーン、中東UAEを除く）およびAWS GovCloud (US)で利用可能です。従来は複数のドキュメントを参照して手動で設定する必要がありましたが、本機能により設定フローの摩擦が大幅に低減されます。

影響範囲・利用シーン ​

  • 対象ユーザー: サーバーレス/Lambda開発者、プラットフォーム/DevOpsチーム、SRE
  • 利用シーン: ローカルやエディタ内のコーディングエージェントを用いたLambda関数の作成・テスト・デプロイの初期セットアップを自動化
  • 運用効果: エージェント毎の設定ミス削減、オンボーディング時間の短縮、サーバーレスのベストプラクティスを組み込んだ一貫した構成の提供
  • 開発ワークフローへの影響: エディタ／エージェントから直接Serverless MCPに接続して関数コンテキストを利用できるため、ローカルでの開発速度向上とデバッグ効率の改善
  • セキュリティ/コンプライアンス: 認証手順（signing-in-to-aws）を案内することで誤った資格情報配置のリスクを低減できる一方、ローカルエージェントに認証情報を扱わせる運用ポリシーが必要

技術的な注意点 ​

  • IAM権限: エージェントやインストール処理が利用する操作に対して最小権限のIAMロール／ポリシーを検討してください。明示的に必要な権限はセットアップガイドを参照
  • リージョン制限: Lambdaが提供される商用リージョン（中東バーレーン・中東UAEを除く）およびAWS GovCloud (US)で利用可能。特定リージョンでの未対応に注意
  • コスト: スキルやセットアップ自体に追加料金は発生しない可能性が高いが、Serverless MCPサーバーやLambda関数の実行、関連サービス（ログ、ストレージ等）には通常のAWS料金が発生します。運用時の実行コストを見積もってください
  • エージェント互換性: サポート対象のコーディングエージェント（例: Claude Code, Kiro, Cursor, GitHub Copilot, Codex, Devin Desktop, OpenCode）向けのインストールコマンドが提供されるが、他エージェントの動作はセットアップガイドで確認してください
  • 認証の取り扱い: ローカルエージェントへAWS認証を渡す場合は、長期有効なアクセスキーの保管を避け、短期の認証やプロファイル、ロール引き受け（AssumeRole）等の安全な方法を推奨します
  • 運用監査: エージェント経由でのデプロイ操作・設定変更は監査対象とし、CloudTrailやロギングで追跡可能にしてください

参考情報 ​

[Iam Identity Center] AWS IAM Identity Center achieves FedRAMP Class C Certification ​

概要 ​

AWS IAM Identity Center（旧AWS Single Sign-On）がFedRAMP Class Cの認定範囲に追加され、指定の米国リージョンで連邦政府向け高セキュリティ要件に適合したワークフォースアクセスの構築が可能になりました。

変更内容・新機能の詳細 ​

今回の更新により、AWS IAM Identity CenterはFedRAMP Class Cの適合範囲（in scope）に含まれ、米国の以下リージョンで利用可能です: US East (Ohio) (us-east-2)、US East (N. Virginia) (us-east-1)、US West (N. California) (us-west-1)、US West (Oregon) (us-west-2)。

FedRAMP（Federal Risk and Authorization Management Program）は、クラウドサービスに対する統一的なセキュリティ評価・認証・継続的モニタリングの枠組みです。IAM Identity CenterがFedRAMP Class Cのスコープに入ったことにより、連邦政府や同等レベルのセキュリティ要件を求める組織は、IAM Identity Centerを用いてAWSアカウントやアプリケーションへのワークフォースアクセス（SSO、アクセス権の一元管理、プロビジョニングなど）を実装・管理しやすくなります。

技術的には、認定スコープ適用下でのアクセス管理、認証フロー、SCIMによるユーザー/グループ同期、外部IdP連携、権限セット（Permission Sets）による中央管理など、IAM Identity Centerの既存機能をFedRAMP Class C対応ワークロードで利用できます。ただし、個別のワークロードや連携するAWSサービスが同じくFedRAMP Class Cのスコープにあるかどうかは別途確認が必要で、監査ログ保存、監視設定、構成管理などは顧客側でも適切に設定・運用する必要があります。

影響範囲・利用シーン ​

  • 対象ユーザー: 連邦政府機関、政府系受託事業者、セキュリティ/コンプライアンス担当者、クラウド導入を行う企業のIAM設計者
  • 利用シーン: FedRAMP Class C準拠が必要なAWSアカウントやクラウドアプリケーションへのワークフォースSSO導入、中央集約的なアクセス権管理、外部IdP連携による認証基盤構築
  • 運用効果: FedRAMP要件に沿ったアクセス管理を公式にサポートすることで、認可取得・監査対応が容易になり、アクセス制御の一貫性と監査証跡の整備が促進される

技術的な注意点 ​

  • リージョン制限: 対象は us-east-2 (Ohio), us-east-1 (N. Virginia), us-west-1 (N. California), us-west-2 (Oregon) の4リージョンのみ
  • 共有責任モデル: IAM Identity CenterがFedRAMPスコープでも、顧客はアカウント内のリソース設定、アプリケーション側の設定、監査ログの保存・保護など自らの責務を果たす必要あり
  • 他サービスの整合性: 連携する他のAWSサービス（CloudTrail、CloudWatch、S3等）がFedRAMP Class Cのスコープに含まれるか別途確認が必要。含まれていない場合は追加の対策や代替の監査手段が必要
  • IAM権限: Identity Centerの設定や組織連携には適切な管理者権限が必要。権限委譲は最小権限で設計すること
  • ロギング/監査: FedRAMP要件を満たすためにCloudTrail等での監査ログの取得・長期保存、整合性保護、アクセス監査の設定を推奨
  • コスト: IAM Identity Center自体に追加料金が発生しないケースがある一方で、監査ログ保存（S3）、モニタリング（CloudWatch Logs、Insights）、データ転送などの利用に伴うコストは発生する可能性あり
  • 認証・IdP連携: 外部IdP（SAML/OIDC）やSCIMでのプロビジョニングを利用する場合は、IdP側の構成とセキュリティ要件がFedRAMPに適合するか確認すること

参考情報 ​

[General] Introducing Amazon GuardDuty AI Protection for AWS AI workloads ​

概要 ​

Amazon GuardDutyに「AI Protection」が追加され、Amazon BedrockやAmazon SageMakerなどのAWS AIサービスに対する脅威検出を拡張しました。AIワークロード特有の異常な呼び出し、コストハーベスティング、プロンプトインジェクションなどを継続的に検出します。

変更内容・新機能の詳細 ​

GuardDuty AI Protectionは、CloudTrailの管理イベントおよびデータイベント（AIサービス由来の呼び出しや利用ログ）を解析して、AIワークロードに特化した不審な挙動を自動検出します。検出対象の例として、通常と異なるモデル呼び出しパターン（異常な頻度やソース）、攻撃者がGPU時間やトークン消費を意図的に増やす「コストハーベスティング（コスト浪費）」、およびAmazon BedrockのGuardrailsと連携したプロンプトインジェクションの試みが挙げられます。検出された脅威はGuardDutyの所見として生成され、直接AWS Security Hubに流れるため、AI資産とセキュリティ所見を単一のダッシュボードで優先順位付けして対応できます。設定はGuardDutyコンソールやSecurity Hubから数ステップで有効化でき、AWS Organizationsを使えば組織全体で集中有効化が可能です。現在GuardDuty利用者向けに30日間の無料トライアルが提供され、利用継続時は標準のGuardDuty課金体系が適用されます。対応リージョンはAWS Regional Services Listで確認してください。

影響範囲・利用シーン ​

  • 対象ユーザー: セキュリティチーム、クラウド/AIインフラ運用者、SRE、MLプラットフォームエンジニア
  • 利用シーン: BedrockやSageMakerで稼働するモデルの不正利用検知（異常呼び出しの検出、コスト悪用、防御線の回避を狙ったプロンプト改竄の検出）
  • 運用効果: AI固有の脅威を自動検出してSecurity Hubに集約することで、優先度付けされた対応が可能になり、無駄なコスト発生や機密情報流出リスクの低減が期待できる

技術的な注意点 ​

  • IAM権限: GuardDutyおよびSecurity Hubの有効化/設定を行うための適切なIAM権限（組織の一括有効化を行う場合はOrganizationsの権限含む）が必要です。読み取り対象のCloudTrailデータにアクセス可能であることを確認してください。
  • CloudTrail設定: GuardDutyは管理イベントとデータイベントを解析します。必要に応じてCloudTrailでAIサービス（例: SageMakerのデータイベント）の記録を有効にしてください。データイベントのログ化は追加コストが発生することがあります。
  • リージョン制限: 全リージョンで即時提供されるわけではありません。対応リージョンはAWS Regional Services Listで確認してください。
  • コスト: 30日間の無料トライアル後はGuardDutyの標準料金が適用されます。CloudTrailデータイベントのログ化やSecurity Hubの利用による追加コストが発生する可能性があります。詳細はGuardDutyの料金ページを参照してください。
  • 運用上の留意点: AI特有の利用パターンにより偽陽性が発生する可能性があるため、検出ルールや対応プレイブックの整備、アラートのチューニングが推奨されます。ログや所見に機密情報が含まれる可能性があるため、アクセス制御とログ保護を徹底してください。

参考情報 ​

概要 ​

Amazon Managed Service for Apache Flink (MSF) に AI Agent Skills が追加され、AI コーディングアシスタント経由で Flink アプリケーションの作成・運用・トラブルシューティング・スケーリング・モニタリング・コスト最適化などの専門的ガイダンスが利用できるようになりました。既存の AI エージェントと連携して、Flink の知見をガイド化し開発・運用を簡素化します。

変更内容・新機能の詳細 ​

AI Agent Skills は MSF 固有の運用知見を AI コーディングアシスタント（例: Kiro、Claude Code、Cursor）に持たせる機能です。ユーザーはまず AWS CLI で Agent Toolkit for AWS を設定し、既存の AI エージェントに対して「新しい Flink アプリケーションを MSF 上に作成する方法は？」や「アプリケーションが不健康だ、原因は？」といった自然言語で質問します。Skills は以下のような支援を提供します: アプリケーション作成手順（テンプレート、設定パラメータ、ジョブ構成）、トラブルシューティング手順（チェックリスト、ログ/メトリクス確認箇所、よくある原因）、スケーリングの推奨（タスク/ジョブマネージャー設定、自動スケーリング指針）、モニタリングで見るべき指標（バックプレッシャー、レイテンシ、checkpoint 指標など）、ネットワーク／セキュリティ設定の注意点（VPC、サブネット、セキュリティグループ、IAM ロール）、およびコスト最適化案（リソースサイズ、並列度の調整、ジョブライフサイクル管理）。また、Flink の最新バージョン（記事では Flink 2.2 へのアップグレードを例示）への移行手順や互換性注意点もガイドします。Skills 自体は操作を自動的に実行するのではなく、手順・コマンド・コードスニペットや設定例を提供して、開発者/運用者が自分で実行できる形で支援します。

影響範囲・利用シーン ​

  • 対象ユーザー: ストリーミングアプリケーション開発者、SRE/運用チーム、データエンジニア
  • 利用シーン: 新規 Flink アプリケーションの構築、既存ジョブのデバッグと性能改善、クラスタやジョブのスケーリング設計、バージョンアップ作業の計画・実行
  • 運用効果: 専門知識が無くてもガイドに沿って対応できるため、オンボーディングと開発速度が向上し、運用トラブルの早期解決とコスト最適化が期待できる

技術的な注意点 ​

  • IAM権限: Agent Toolkit と AI エージェントがアクセスするために必要最小限の IAM 権限（読み取り/実行する API）を事前に準備・最小化してください。不要な管理権限を与えないこと。
  • Agent Toolkit 設定: 利用開始には AWS CLI から Agent Toolkit for AWS の設定が必要です。ローカル環境や CI 環境での認証情報管理に注意してください。
  • リージョン制限: 記事で特定リージョンの制約は明記されていませんが、MSF サービスや関連機能はリージョン毎に提供状況が異なるため、利用前に対象リージョンでの対応状況を確認してください。
  • コスト: AI Agent Skills 自体の料金明記はないものの、MSF クラスタやジョブの実行・スケールは従来のリソース課金が発生します。AI エージェント（サードパーティ）の利用には別途利用料金や API 呼び出しコストが発生する場合があります。
  • データ・プライバシー: AI コーディングアシスタントに設定やログ等の情報を送信する場合、機密情報（シークレット、アクセスキー、個人情報など）が含まれないようにマスキング/除去を行ってください。外部 AI サービスへの送信ポリシーを確認してください。
  • 互換性/バージョン: Skills は Flink のバージョン固有のガイドを提供しますが、実際のアップグレード時はアプリケーション依存の互換性チェック（API 変更、コネクタ互換性、状態管理）を必ず実行してください。
  • 自動実行の可否: Skills は主にガイダンスとコマンド例を提示する機能であり、環境に対する自動変更を行う場合は明示的な手順に従ってください（誤った自動変更を防ぐため）。

参考情報 ​

[Workspaces] Amazon WorkSpaces Personal simplifies bulk PCoIP to DCV protocol migration ​

概要 ​

Amazon WorkSpaces Personalで、PCoIPからAmazon DCVプロトコルへの大規模移行がより自動化されました。停止中のWorkSpaceに対するプロトコル変更と失敗時の自動ロールバック（チェックポイントスナップショットへの復元）がサポートされ、管理者の手作業を大幅に削減します。

変更内容・新機能の詳細 ​

今回の更新では、既に提供されているコンソールベースの移行ワークフローとチェックポイントスナップショット機能を拡張し、以下を実現します：

  • 移行前にチェックポイント（スナップショット）を作成しておき、プロトコル変更が失敗した場合は自動的にそのスナップショットへ復元（ロールバック）することで、WorkSpaceを既知の正常状態に戻します。
  • 停止中（Stopped）のWorkSpacesに対してもコンソールから直接プロトコル変更を開始可能にし、個別に起動する手間を省いて大規模移行を高速化します。
  • 移行先のAmazon DCVは高性能ストリーミングプロトコルであり、Windows 11やWindows Server 2025などのOSサポート拡張、証明書ベース認証やWebAuthNリダイレクションといったセキュリティ機能、及びストリーミング性能の向上を提供します。 これらの機能は、Amazon WorkSpaces Personalがサポートされている全てのAWS商用リージョンおよびAWS GovCloud (US)で利用可能です。管理者はAmazon WorkSpacesコンソールから移行を開始し、詳細は管理者ガイド（Modify protocolsセクション）を参照して設定を行います。

影響範囲・利用シーン ​

  • 対象ユーザー: VDI/仮想デスクトップ管理者、SRE、エンタープライズのデスクトップ移行チーム
  • 利用シーン: PCoIPからDCVへの一括移行（数十〜数千のWorkSpaces）や停止中WorkSpacesを含むバルク移行作業
  • 運用効果: 手動でのWorkSpace起動や失敗時の手動復旧を削減し、移行時間と運用負荷を大幅に短縮。移行失敗時は自動ロールバックにより既知の正常状態を復元できるためリスクが低減される

技術的な注意点 ​

  • IAM権限: 移行を実行するユーザー/ロールにはWorkSpacesの管理権限（コンソールでのプロトコル変更、スナップショット作成/復元など）を付与する必要があります。具体的な権限はAdministration Guideで確認してください。
  • 互換性: 移行先のAmazon DCVを利用するには、対象WorkSpaceイメージおよびエージェントがDCVをサポートしていることを確認してください。OSやカスタムイメージによっては追加対応が必要です。
  • スナップショットとコスト: チェックポイントスナップショットの作成・保持はストレージコストが発生する可能性があります。大量移行時はスナップショットの保持期間と課金を確認してください。
  • ダウンタイム/ユーザー影響: ランニング中のWorkSpaceをプロトコル変更する場合、セッション中断が発生する可能性があります。移行はメンテナンスウィンドウで実施することを推奨します。停止中のWorkSpaceは起動せずに移行できるため、ユーザー影響を抑えられます。
  • リージョン制限: 本機能はAmazon WorkSpaces Personalがサポートされている商用リージョンおよびAWS GovCloud (US)で利用可能です。詳細はリージョン対応状況を確認してください。
  • 運用手順: 大規模移行前に少数のWorkSpaceでテストを行い、エージェント互換性、認証（証明書/WebAuthN）やユーザープロファイルの復元挙動を検証してください。

参考情報 ​

[General] Amazon Aurora DSQL is now available in Europe (Spain) ​

概要 ​

Amazon Aurora DSQL が Europe (Spain) リージョンで単一リージョンクラスターとして利用可能になりました。Aurora DSQL はサーバーレスの分散型SQLデータベースで、アクティブ‑アクティブ高可用性やマルチリージョンでの強整合性を特徴とします。

変更内容・新機能の詳細 ​

今回のリリースにより、Europe (Spain) リージョンで単一リージョンクラスターの作成・利用が可能になりました。Aurora DSQL はサーバーレスアーキテクチャを採用し、ノード管理不要でほぼ無制限のスケーラビリティを提供します。アクティブ‑アクティブ構成により高可用性を実現し、複数リージョンにまたがるデプロイでは強い整合性を維持できます（今回のローンチは Spain リージョンでの単一リージョン利用対応の追加）。運用側はインフラ管理をほとんど行う必要がなく、スケーリングや耐障害性をアプリケーション側で意識せずに活用できます。AWS Free Tier の対象となるスタートポイントが用意されており、まずは無料枠で検証可能です。今回の発表で Aurora DSQL は北米、南米、欧州、アジア太平洋の複数リージョンに展開されている（記事に記載のリージョン一覧に Spain が追加）。導入・操作は AWS マネジメントコンソール、API/CLI、IaC（CloudFormation/Terraform 等）経由で行うのが一般的で、既存のアプリケーションは接続ドライバや互換性（プロトコル、認証方式）を確認して移行する必要があります。

影響範囲・利用シーン ​

  • 対象ユーザー: クラウドアプリケーション開発者、データベース管理者、SRE/運用チーム
  • 利用シーン: 高可用性が必要なトランザクション処理、グローバルに分散した読み取り／書き込みを想定するアプリケーション、スケーラブルなサーバーレスデータレイヤーの導入検証
  • 運用効果: インフラ管理工数の削減、需要変動に対する自動スケーリング、単一リージョンでの低レイテンシ利用（Spain リージョン利用者向け）の実現
  • 地域的影響: Spain リージョン内のアプリケーションに対してデータ主権やレイテンシ改善の恩恵が得られる
  • 移行影響: 既存の Aurora/他DB からの移行ではクライアント互換性、監視・バックアップ設計、運用手順の見直しが必要

技術的な注意点 ​

  • IAM権限: Aurora/DQL クラスター作成・管理、RDS/Aurora 関連の IAM ポリシーやロール（VPC/EC2 連携権限を含む）を適切に付与してください
  • リージョン制限: 今回は Europe (Spain) に単一リージョンクラスターが追加されたリリースです。マルチリージョンの強整合性を利用する場合は対応リージョンを事前に確認してください
  • コスト: サーバーレスの利用は従量課金モデルが基本です。Free Tier がある一方、マルチリージョン同期やデータ転送（リージョン間レプリケーション）には追加コストが発生する可能性があります。料金ページで見積りを行ってください
  • ネットワーク/セキュリティ: クラスターは VPC 内に配置されます。サブネット、ルートテーブル、セキュリティグループ、必要に応じて NAT/Gateway 構成を確認してください。暗号化（KMS）やバックアップ設定も事前に検討してください
  • 互換性/移行: クライアントドライバ互換性、SQL 機能の差分、レプリケーション要件などを検証のうえ移行計画を立ててください。運用監視は CloudWatch 等でのメトリクス取得を推奨します
  • 制限・クォータ: インスタンスサイズや接続数、スループット等の制限が存在します。業務負荷に応じて事前に上限確認および必要なら引き上げ申請を行ってください

参考情報 ​

[Security Hub] AWS Security Hub now provides AI inventory for organization-wide visibility of AI assets ​

概要 ​

AWS Security Hubが組織全体のAI資産を継続的に検出・カタログ化する「AI inventory」を提供開始しました。AIエージェント、モデル、推論エンドポイントなどを可視化し、既存のセキュリティ所見と関連付けて脅威優先度に基づく対応を可能にします。

変更内容・新機能の詳細 ​

Security HubのAI inventoryは、組織全体のAIワークロードを自動的に発見・台帳化する機能です。発見は主に3つの方法で行われます。1) 管理されたAIサービス：Amazon Bedrock、Bedrock AgentCore、Amazon SageMakerに関するAWS Configのリソース情報を収集し、追加設定なしでインベントリ化します。2) セルフホステッドなAI workloads：Amazon InspectorのSBOM（ソフトウェア部品表）解析を拡張し、Amazon EC2インスタンスやAmazon ECRコンテナイメージ内の推論エンドポイント、モデル、AIエージェント（例：Ollama、vLLM、Hugging Face TGI等のフレームワーク）を識別します。3) 外部AI依存の検出：Amazon GuardDutyのDNSテレメトリを活用して、EC2インスタンス等からアクセスされている外部AI APIエンドポイント（サードパーティのモデルプロバイダなど）を発見します。発見した各AI資産は基盤となるインフラストラクチャにマッピングされ、GuardDutyなどを含むAWSセキュリティスタックからの脅威所見と相関付けされます。ユーザーはアカウント、リソース種別、発見方法、モデルIDなどでフィルタ／グループ／クエリでき、どのAIワークロードが実際に脅威にさらされているかを基に対応の優先順位付けができます。AI InventoryはSecurity Hub Essentialsに含まれ、追加料金や新たな有効化は不要で、Security Hubが提供される全てのAWS商用リージョンで利用可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: セキュリティチーム、クラウド/セキュリティエンジニア、SRE、MLプラットフォーム/運用チーム
  • 利用シーン: 組織横断のAI資産管理と検出（モデル・エンドポイント・エージェント）、サードパーティモデル呼び出しの発見、脅威に基づいた優先的な対応
  • 運用効果: AI導入のスピードに伴う可視性ギャップを縮小し、未知のAI資産や第三者依存の早期発見によるリスク低減とインシデント対応の迅速化を実現
  • コスト影響: AI Inventory自体はSecurity Hub Essentialsに含まれ追加費用なしだが、Amazon GuardDutyやAmazon Inspectorを有効にするとそれらのサービスに対する課金が発生する可能性あり
  • リージョン制限: Security Hubが提供されるAWS商用リージョンで利用可能（China/GovCloudリージョンは対象外の可能性あり）

技術的な注意点 ​

  • IAM権限: Security HubがAWS Config、Amazon Inspector、Amazon GuardDutyなどのデータを参照できる適切な権限が必要。組織全体での集約表示にはOrganizations連携とクロスアカウントアクセスの設定を確認してください
  • 前提条件: フルカバレッジには対象アカウントでAmazon Inspector（SBOM解析）およびAmazon GuardDutyが有効であること、またAWS Configで該当リソースが記録されていることが望ましい
  • リージョン制限: 記載どおりSecurity Hubが提供される商用リージョンで利用可能。中国リージョンやGovCloudについては別途確認が必要です
  • 検出の限界: SBOMやイメージ解析で検出できないパッケージ形式や独自ビルド、暗号化された通信やプライベートネットワーク経由の外部APIコールは見逃す可能性があります
  • データ関連: GuardDutyのDNSテレメトリに依存するため、DNS解決が行われない、もしくはVPC内のプライベートエンドポイントのみを使うケースでは外部依存の発見が制限されます
  • コスト: AI Inventory機能自体は追加料金なしだが、関連する検出ソース（GuardDuty/Inspector/AWS Config）の利用は別途課金される可能性があります
  • 互換性/カバレッジ: 現時点で公表されているフレームワーク（Ollama、vLLM、Hugging Face TGI等）は検出対象だが、すべてのAIフレームワーク・実装が網羅されるわけではありません

参考情報 ​

AI要約はOpenAI APIによって生成されています。

Copyright © 2026