AWS What's New Digest

Appearance

2026年07月23日 ​

[Sagemaker Deploy] Announcing region expansion of G6 instances on SageMaker AI Inference ​

概要 ​

Amazon SageMaker AI InferenceでG6インスタンスがAWS GovCloud (US‑East)に拡張されました。NVIDIA L4（最大8 GPU、各24GB）と第3世代AMD EPYCを搭載し、G4dn比で最大2倍の推論性能を提供します。

変更内容・新機能の詳細 ​

G6インスタンスは最大8基のNVIDIA L4 Tensor Core GPU（各GPU 24GBメモリ）と第3世代AMD EPYCプロセッサを備え、同等世代のG4dnインスタンスに比べて深層学習推論性能が最大2倍になります。SageMaker AI Inference上でエンドポイントとして利用可能になり、小〜中規模の言語モデル（小〜中型LLM）、画像生成、コンピュータビジョン等の生成系／推論ワークロードに適しています。各GPUあたり24GBのメモリ制約があるため、単一GPUに収まるモデルは低レイテンシでコスト効率よく本番配備できます。大きなモデルを扱う場合は、フレームワーク側のマルチGPU（モデル並列）対応やSageMakerのマルチインスタンス構成を検討する必要があります。今回の拡張により、米国政府機関やGovCloud要件のある組織がデータ所在地やコンプライアンス要件を満たした上でG6の高い価格性能比を利用できます。料金や対応リージョンの詳細はSageMakerの価格ページを参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: 政府機関や規制の厳しい業務をGovCloudで運用する組織、SageMakerで本番推論を行うMLエンジニア/プラットフォーム担当者
  • 利用シーン: 小〜中規模のLLM推論、画像生成エンドポイント、リアルタイム/バッチのCV推論をGovCloud上で本番配備する場面
  • 運用効果: G4dnより高い推論スループットとコスト効率で低レイテンシな本番推論を実現し、データ居住性・コンプライアンス要件を満たすことが可能

技術的な注意点 ​

  • IAM権限: SageMakerでエンドポイントを作成/管理するための適切なIAM権限が必要です（SageMaker実行ロールなど）
  • リージョン制限: 本拡張はAWS GovCloud (US‑East)での提供開始です。その他のGovCloudリージョンや商用リージョンでの利用可否はリージョンごとに確認してください
  • GPUメモリ: 各GPUは24GBのメモリを搭載。単一GPUに収まらないモデルはマルチGPU（モデル並列）やモデル圧縮、スプライティングを検討する必要があります
  • マルチGPU対応: SageMakerエンドポイントで複数GPUを活用する場合は、使用する推論フレームワーク（TorchServe、TensorRT、DeepSpeed推論等）がマルチGPU/モデル並列をサポートしていることを確認してください
  • コスト: G6は高い価格性能比を提供しますが、GPU数や稼働時間に基づく追加コストが発生します。実運用前に推論スループットと料金の見積もりを行ってください
  • コンプライアンス/アカウント: GovCloud利用には専用のGovCloudアカウントや承認プロセスが必要です。該当組織はAWS GovCloudの利用手順を確認してください
  • SageMaker設定: エンドポイント作成時にインスタンスタイプ（G6系）を指定する必要があります。トラフィック/スケーリング要件に応じたAutoscaling設定を検討してください

参考情報 ​

[Wickr] AWS Wickr announces Data Retention Service feature ​

概要 ​

AWS WickrがPremium向けにマネージドなData Retention Serviceを提供開始しました。サーバーレスのクラウドネイティブ方式で会話（DM、グループ、フェデレーテッド外部チームを含む）をアーカイブできる機能です。

変更内容・新機能の詳細 ​

Data Retention Serviceは、従来のコンテナベースの保持ソリューションに代わるクラウドネイティブなサーバーレス実装です。Wickrのエンドツーエンド暗号化の基準を維持しつつ、ネットワーク内の会話（ダイレクトメッセージ、グループ/ルーム、外部フェデレーション相手との会話）を選択的に保持・アーカイブできます。マネージドサービスとしてインフラ管理不要、オートスケーリング、自動監視（メトリクス・ログ）の提供が特徴で、導入はPremiumネットワークのオプトイン方式です。組織は保持ポリシーの設定、監査証跡の確保、必要に応じたデータエクスポートや法的保全（legal hold）への対応などを行えます。正式な技術的実装（鍵管理の方式、保存データの暗号化スキーム、保持期間等）はドキュメントで確認してください。

影響範囲・利用シーン ​

  • 対象ユーザー: AWS Wickr Premiumを利用するセキュアなコラボレーションを必要とする企業、コンプライアンス／法務／セキュリティチーム
  • 利用シーン: 法規制対応のためのメッセージ保存、監査証跡の保持、eDiscovery/法的保全、内部調査や規程違反の追跡
  • 運用効果: コンテナ運用・スケーリングの負荷を削減してアーカイブ運用を簡素化。自動スケーリングと監視により可用性を向上し、監査対応の工数を低減できる
  • 組織横断影響: フェデレーション相手との会話も保持可能なため、クロステナントのコンプライアンス要件やデータ共有ポリシーを再検討する必要がある

技術的な注意点 ​

  • 導入権限／IAM権限: ネットワーク管理者レベルのオプトイン操作や保持ポリシー設定に管理権限が必要。事前に管理ロールを確認してください
  • リージョン制限: 公開情報では明示されていません。導入前に対象リージョンでの提供状況・データレジデンシを公式ドキュメントで確認してください
  • コスト: Premiumライセンスが前提で、保持ストレージやデータ転送・エクスポートに追加料金が発生する可能性があります。容量増加や長期保持によるコスト影響を見積もってください
  • 暗号化と鍵管理: AWSは「エンドツーエンド暗号化基準を維持」としていますが、アーカイブされたデータの復号方法・鍵管理（AWS管理鍵か顧客管理鍵か）と管理者の閲覧権限を必ず確認してください
  • 保持ポリシーと法務: 保持期間、削除（消去）ポリシー、legal holdの動作、外部フェデレーション相手に関わる同意や通知要件を法務と連携して設計してください
  • 監査・ログ: 保持データへのアクセスやエクスポート操作の監査ログを有効にし、SIEM/監査ワークフローに統合することを推奨します
  • フェデレーション影響: 外部チームとの会話保持が可能なため、相手側のポリシーやリージョン規制の整合性を確認してください

参考情報 ​

[Ec2] Amazon EC2 C7a instances are now available in the US West (N. California) Region ​

概要 ​

Amazon EC2のコンピュート最適化インスタンスC7aが、米国西部（北カリフォルニア）リージョン(us-west-1)で利用可能になりました。第4世代AMD EPYC（Genoa）を採用し、C6a比で最大50%の性能向上が見込まれます。

変更内容・新機能の詳細 ​

C7aインスタンスは4th Gen AMD EPYC（Genoa）プロセッサ（最大3.7GHz）を搭載し、AVX-512、VNNI、bfloat16といった新しい命令セットをサポートします。DDR5メモリを採用しており、C6aと比べてメモリ帯域が約2.25倍に向上しているため、レイテンシに敏感なワークロードでも高い性能を発揮します。インスタンスサイズはmediumから48xlargeまでの12種類（ベアメタルも含む）を提供します。ストレージ面では、C7aインスタンスに最大128個のEBSボリュームをアタッチ可能（C6aは最大28個）となり、大規模なブロックストレージ構成に対応します。C7aはAWS Nitro System上に構築され、バッチ処理、分散分析、HPC、広告配信、スケーラブルなマルチプレイヤーゲーム、ビデオエンコードなどの高性能・計算集約型ワークロードに最適化されています。購入オプションはオンデマンド、スポット、Savings Plansをサポートしており、AWS Management Console、CLI、SDKで起動できます。

影響範囲・利用シーン ​

  • 対象ユーザー: コンピュート集約型アプリケーションの開発者、SRE、HPC/AIワークロード運用者、ゲーム/メディア配信事業者
  • 利用シーン: 大規模バッチ処理、分散分析、HPCシミュレーション、低遅延が求められる推論/推定処理、ビデオエンコード、広告配信や大規模マルチプレイヤーゲームのサーバー
  • 運用効果: AVX-512/VNNI/bfloat16によるベクトル演算の高速化やDDR5による高帯域メモリアクセスで処理時間短縮が期待できる。EBSアタッチ上限の拡大により大容量ブロックストレージ構成が容易になる

技術的な注意点 ​

  • IAM権限: RunInstances、AttachVolumeなどEC2/EBSに関するIAM権限が必要です。既存のロール/ポリシーを確認してください
  • リージョン制限: 本リリースは米国西部（北カリフォルニア）リージョン（us-west-1）での提供開始。その他リージョンでは未提供の可能性があるため事前に確認してください
  • コスト: C7aはC6aより高性能だが単価は異なる可能性があります。オンデマンド、スポット、Savings Plansの価格を比較し、コスト試算を行ってください
  • EBS/クォータ: 最大128ボリュームのアタッチはインスタンスとリージョンのクォータに依存します。必要に応じてサービスクォータの引き上げ申請が必要です
  • OS/ソフトウェア互換性: AVX-512/VNNI/bfloat16を利用するにはカーネルやコンパイラ（GCC/LLVM）、ライブラリ（MKL/BLIS等）が該当命令をサポートしている必要があります。ベンダーやランタイムの互換性を確認してください
  • ベアメタル/仮想化: ベアメタルサイズを含むため、特定のライセンスやハードウェア依存ソフトウェアをそのまま動かせます。Nitroベースの機能（EBS最適化、ENAなど）はインスタンスタイプに依存します
  • モニタリング/ベンチマーク: 導入前に実ワークロードでのベンチマーク（CPUプロファイル、メモリ帯域、I/O）を推奨します

参考情報 ​

[Ec2] Amazon EC2 M8a instances now available in the Asia Pacific (Hyderabad) region ​

概要 ​

Amazon EC2の汎用インスタンス M8a が、Asia Pacific (Hyderabad) リージョンで利用可能になりました。5th Gen AMD EPYC（Turin）プロセッサを搭載し、M7a比で高い性能とメモリ帯域を提供します。

変更内容・新機能の詳細 ​

M8aインスタンスは5th Gen AMD EPYCプロセッサ（コードネーム Turin）を採用し、最大4.5GHzの周波数で動作します。M7aと比較して最大30%の性能向上、最大19%のコストパフォーマンス改善、および45%のメモリ帯域幅向上を実現します。特定ワークロードではさらに大きな利得が見られ、GroovyJVMベンチマークで最大60%高速、Cassandraベンチマークで最大39%高速化しています。M8aはSAP認定済みで、合計12のインスタンスサイズ（うち2つはベアメタル）を提供し、ニーズに合わせて細かくサイズ選択が可能です。ネットワーキングとI/Oは第6世代AWS Nitro Card上で動作し、高スループット・低レイテンシが求められる金融アプリケーション、ゲーム、レンダリング、アプリケーションサーバ、シミュレーション、ミッドサイズのデータストア、開発環境、キャッシュ群などに適しています。購入はオンデマンド、Savings Plans、Spotで可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: クラウドインフラやアプリケーションの性能を重視するクラウドエンジニア、SRE、データベース/ミドルウェア担当者、金融・ゲーム・レンダリング等のアプリケーション開発者
  • 利用シーン: レイテンシ感度の高いアプリケーション、メモリ帯域を多く消費する処理、CassandraやJVMベースのワークロード、高性能なミドルウェアやSAPの稼働
  • 運用効果: M7aからの移行で同等負荷に対するスループット向上やインスタンス台数削減によるコスト最適化（最大19%の価格性能改善を想定）、応答性改善やスケールダウンによる運用負荷軽減

技術的な注意点 ​

  • IAM権限: ec2:RunInstances や iam:PassRole（インスタンスプロファイル使用時）など標準のEC2起動権限が必要です
  • リージョン制限: 本発表では Asia Pacific (Hyderabad) リージョンでの提供開始が明記されています。利用可能リージョンは今後変動するため、他リージョンでの可用性は管理コンソールやドキュメントで確認してください
  • イメージ互換性: Nitroベースの最新機能を活用するため、モダンなAWS提供AMI（Amazon Linux 2等）や対応するディストリビューションを利用してください。古いカーネルやドライバが必要なカスタムAMIは事前検証が必要です
  • ベアメタル注意: ベアメタルサイズは専有リソースであり、価格・起動条件が仮想化インスタンスと異なります。ライセンスやハードウェア固有の要件を確認してください
  • ベンチマークの参照: 記載の性能差はAWSのベンチマークによる比較値であり、実ワークロードでの効果はアプリケーションや設定に依存します。移行前にプロファイリングと実環境もしくは類似ワークロードでのテストを推奨します
  • コスト: M8aは価格性能比が改善されていますが、実際のコストはリージョン、インスタンスサイズ、購入オプション（オンデマンド/Savings Plans/Spot）により変動します。料金比較とコスト見積もりを行ってください
  • SAP認定: SAPワークロードに対する認定があるため、SAP導入計画では公式サポート情報と構成ガイドを参照してください

参考情報 ​

[Elastic Load Balancing] AWS Network Load Balancer now supports Listener Rules for custom traffic routing ​

概要 ​

Network Load Balancer (NLB)がリスナールールをサポートし、クライアントのIPアドレスタイプ（IPv4/IPv6）に応じて接続を別々のターゲットグループへルーティングできるようになりました。これにより、dual‑stack NLBでIPv4とIPv6トラフィックを同一ロードバランサで扱いつつ、クライアントIPのエンドツーエンド保持が可能になります。

変更内容・新機能の詳細 ​

新しいリスナールールはソースIPアドレスタイプ（IPv4かIPv6か）を条件に接続を振り分けます。dual‑stack構成のNLBは、IPv6クライアントからの接続をIPv6ターゲットグループへ、IPv4クライアントからの接続をIPv4ターゲットグループへそれぞれルーティングし、プロトコル変換（IP translation）を行わずにオリジナルのクライアントIPを保持します。これにより従来必要だった「IPv4用とIPv6用で別々のNLBを用意してDNSで振り分ける」か「単一ターゲットグループに送ってIP翻訳によりクライアントIPを失う」のどちらかの選択が不要になります。既存のdual‑stack NLBへルールを追加可能で、再作成は不要です。対応リスナーは TCP、UDP、TCP_UDP、TLS で、接続ドレイン（deregistration delay）、ターゲットグループのスティッキネス、クロスゾーン負荷分散、ウェイト付きターゲットグループ、クライアントIP保持など既存のNLB機能と併用できます。料金は追加費用なしで、標準のNLB料金（ロードバランサ時間、LCU）が適用されます。

影響範囲・利用シーン ​

  • 対象ユーザー: ネットワーク/クラウドエンジニア、SRE、アプリケーション運用チーム
  • 利用シーンまたは効果: 単一のdual‑stack NLBでIPv4/IPv6クライアントを同時にサービスしつつ、各アドレスファミリに対応したターゲットへネイティブにルーティングしてクライアントIPを保持する必要がある環境（例: ログ集約、アクセス制御、IPベースのレート制御）
  • 運用効果: インフラの簡素化（NLBの二重化不要）、クライアントIP保持による正確なログ/監査、既存機能との併用で移行コストが低い
  • 可用性/設計への影響: 既存のdual‑stackアーキテクチャへルールを追加するだけで運用可能なため、短時間で設計変更の恩恵を受けられる
  • コスト: ルール自体に追加料金は発生しないが、標準のNLB（ロードバランサ時間、LCU）料金は継続して発生する
  • リージョン: 全ての商用AWSリージョンおよびAWS GovCloud (US) で利用可能

技術的な注意点 ​

  • IAM権限: listener/Rule の作成・変更には Elastic Load Balancing の権限（例: elasticloadbalancing:AddListenerCertificates/ModifyListener/CreateRule/ModifyRule）が必要です
  • リージョン制限: 発表によれば全商用リージョンとAWS GovCloud (US)で利用可能。特殊リージョン（中国リージョン等）は別途確認してください
  • 対応リスナー/プロトコル: TCP、UDP、TCP_UDP、TLS リスナーでサポート（アプリケーション層のヘッダ条件ではなくソースIPファミリによるL3条件で評価）
  • 既存NLBとの互換性: 既存のdual‑stack NLBに対してルールを追加可能。NLBの再作成は不要
  • ターゲットグループ設計: IPv4用とIPv6用の同ファミリターゲットグループを用意する必要あり。ターゲットの型（インスタンス/ IP）とヘルスチェック設定は各ターゲットグループで適切に設定してください
  • クライアントIP保持: NLBはオリジナルのクライアントソースIPをターゲットへ渡します（IP translation を行わない同ファミリ接続時）。ターゲット側のログ/ACLはこのIPを前提に設計可能です
  • 動作タイミング: ルールは接続（コネクション）確立時に評価されます。既存接続が継続中の場合、その接続のルーティングは接続中に変更されません
  • コスト: ルール追加に対する追加料金はないが、標準のNLB時間およびLCU課金が適用される
  • その他注意: NLBはL4ロードバランサのため、HTTPヘッダやパスベースのルーティングのようなL7条件は使えません。プロトコル変換を避けたい場合は必ず「同ファミリのターゲットグループ」を用意してください

参考情報 ​

[Entity Resolution] AWS Entity Resolution now supports advanced real-time matching ​

概要 ​

AWS Entity Resolutionが高度なリアルタイムマッチングをサポートしました。高度なルールセットを用いてミリ秒単位でレコード照合が可能になり、既存のGenerateMatchId APIをそのまま利用できます。

変更内容・新機能の詳細 ​

今回の変更により、これまでバッチ処理（分〜時間）に限定されていた高度なマッチングルール（Exact、ExactManyToManyなどの演算子とAND/ORロジックの組み合わせ）を、リアルタイムで評価できるようになりました。顧客はマッチングワークフローに対してenableRealTimeMatchingパラメータをtrueに設定するだけで、追加のエンドポイント変更やマイグレーションなしに既存のGenerateMatchId API呼び出しでリアルタイムの結果を受け取れます。パフォーマンスはミリ秒単位の応答を想定しており、詐欺検知、リアルタイムのアカウント照会、ウェブパーソナライゼーション等のユースケースで即時性の高い照合が可能になります。高度なルールをリアルタイムで評価するため、内部的にはより複雑なマッチングエンジンが高速に実行されますが、APIやワークフロー定義の互換性は維持されています。

影響範囲・利用シーン ​

  • 対象ユーザー: データエンジニア、SRE、セキュリティ/不正検知チーム、カスタマーエクスペリエンス/パーソナライゼーション担当者
  • 利用シーンまたは効果: 詐欺検知での即時照合、ログイン/アカウント検索の高速化、ウェブやアプリのリアルタイムパーソナライズ。高度な論理条件を伴う判定をリアルタイムで実行できるため、別途マッチング基盤を構築・運用する必要がなくなります
  • 運用効果: レイテンシ低減（ミリ秒応答）、アプリケーションのアーキテクチャ簡素化（別サービスの維持不要）、バッチとリアルタイムを分けた運用コスト・運用負荷の削減

技術的な注意点 ​

  • 設定: マッチングワークフローでenableRealTimeMatching=trueを設定し、既存のGenerateMatchId APIを呼び出すだけで有効化されます
  • API互換性: 新しいエンドポイントは不要。既存のGenerateMatchId呼び出しはそのまま利用可能です
  • サポートする演算子/ロジック: Exact、ExactManyToMany 等の高度な演算子とAND/ORロジックをリアルタイムで評価可能です
  • パフォーマンス注意事項: ルール複雑度やリクエストレートにより処理負荷が上がるため、負荷試験で期待レイテンシを確認してください。複雑なMany-to-Manyルールは処理時間に影響します
  • 権限（IAM）: GenerateMatchIdの呼び出し権限と、マッチングワークフローを編集する権限が必要です（コンソール/SDK/CLI経由でワークフロー更新時）
  • リージョン制限: AWS Entity Resolutionが利用可能な全リージョンで提供されていますが、実運用前に対象リージョンでの有効化と詳細設定を確認してください
  • コスト: リアルタイムリクエスト数の増加や高度なルール評価に伴い、リクエスト課金や内部処理コストが増加する可能性があります。予想リクエスト量に基づくコスト試算とモニタリングを推奨します

参考情報 ​

[Lambda] AWS Lambda durable functions now supports customer managed key encryption ​

概要 ​

AWS Lambda Durable Functions の実行状態（durable execution data）を AWS KMS のカスタマーマネージドキー（CMK）で暗号化できるようになりました。これにより、実行履歴と状態データの鍵管理をユーザー側で制御できます。

変更内容・新機能の詳細 ​

Lambda Durable Functions はファンクションコード内で長時間実行されるワークフローを自動的に状態管理しながら実装できる機能で、実行状態は保存時に暗号化されます。従来は AWS が所有するキーで暗号化されていましたが、今回の更新で AWS KMS のカスタマーマネージドキー（CMK）を指定して durable execution data を暗号化できるようになりました。これによりキーの所有・ローテーション・アクセス制御（キー ポリシーや KMS Grants）は顧客側で管理可能になります。durable execution key は、環境変数や SnapStart スナップショットを保護する関数レベルのキー（function-level key）とは独立しており、実行データへのアクセス管理を関数設定とは別に行えます。この機能は Lambda Durable Functions が利用可能なすべての AWS リージョンで有効です。なお、CMK を使用した場合は標準の AWS KMS 課金が適用され、Lambda 側の追加料金は発生しません。実運用ではキーポリシー、IAM 権限、キーの有効化/無効化や削除の影響（無効化や削除でデータ復号不可になる可能性）に注意が必要です。

影響範囲・利用シーン ​

  • 対象ユーザー: セキュリティ・コンプライアンス要件が厳しい組織（金融、医療、規制対応を要する企業）、セキュリティ担当者、クラウド運用チーム
  • 利用シーン: 実行履歴やワークフロー状態に対して顧客管理の暗号鍵ポリシーを適用したいケース（監査要件、鍵ローテーションポリシー適用、鍵アクセスの分離）
  • 運用効果: 鍵ローテーション、アクセス制御、監査ログの統合などを通じてデータガバナンスを強化できる。実行データへのアクセス権限を関数設定とは別に細かく管理可能
  • コンプライアンス/規制対応: 顧客所有の鍵を要求する規制（例: 一部金融・医療関連要件）に対応可能
  • コスト: KMS の標準料金（キー管理、API 呼び出しなど）が別途発生。Lambda の追加料金はなし
  • リージョン: Lambda Durable Functions が利用可能な全リージョンで提供（ただし CMK 自体はリージョン単位のリソースであるため、キーは使用するリージョンに存在する必要がある）

技術的な注意点 ​

  • IAM権限: KMS キーに対する適切なキーポリシーと IAM 権限（kms:Encrypt, kms:Decrypt, kms:GenerateDataKey, kms:DescribeKey, kms:CreateGrant など）が必要。Lambda からのアクセス許可を付与する設定を忘れないこと
  • リージョン制限: 機能は Durable Functions が有効なすべてのリージョンで利用可能だが、KMS CMK はリージョン単位のリソースのため、キーは該当リージョンに作成する必要がある
  • コスト: CMK を使用すると標準の AWS KMS 課金（キー管理料金、API 呼び出し）が発生する。Lambda 側の追加課金はない
  • キー運用: キーの無効化・削除・ポリシー変更は実行データの復号性に直接影響するため、ローテーションや削除手順を運用ルールに組み込むこと。自動ローテーションの利用可
  • 分離管理: durable execution key は関数レベルの環境変数/SnapStart を保護するキーとは独立しているため、アクセス制御・監査を用途ごとに分離して設計可能
  • クロスアカウント/クロスリージョン: クロスアカウントでの利用はキーの付与（Grant）やキーポリシーで明示的に許可する必要がある。CMK はリージョン単位なのでクロスリージョン利用は設計上の考慮が必要

参考情報 ​

[Corretto] Amazon Corretto July 2026 Quarterly Updates ​

概要 ​

Amazon Correttoの四半期セキュリティおよび重要アップデートが公開され、Corretto 26.0.2、25.0.4、21.0.12、17.0.20、11.0.32、8u502が提供開始されました。DockerイメージのデフォルトベースがAmazon Linux 2023に変更され、Corretto 8からはJavaFXバイナリが同梱されなくなりました。

変更内容・新機能の詳細 ​

・リリース内容: Correttoの複数バージョン（26.0.2、25.0.4、21.0.12、17.0.20、11.0.32、8u502）に対するセキュリティおよび重要な修正を含む四半期アップデートを公開。 ・配布形態: Correttoは無償のマルチプラットフォームなOpenJDKディストリビューションであり、Correttoの各バージョンはホームページから直接ダウンロード可能。Linuxではapt/yum/apkリポジトリを設定して自動更新を受け取れる。 ・コンテナベース変更: 本リリースより、デフォルトのAmazon Corretto DockerイメージはAmazon Linux 2023をベースに変更。既存のAmazon Linux 2ベースイメージは引き続き非デフォルト（オプション）として提供されるため、移行を検討する必要あり。 ・Corretto 8の変更: Corretto 8ではJavaFXバイナリの同梱を廃止。JavaFXを利用するアプリケーションは別途バイナリやモジュールを用意するか、移行ガイドに従って対応する必要がある。 ・その他: フィードバックは歓迎されており、詳細や移行の推奨事項はCorrettoのGitHubや公式ページで案内されている。

影響範囲・利用シーン ​

  • 対象ユーザー: Java開発者、SRE/運用チーム、コンテナを用いるアプリケーションの運用者
  • 利用シーンまたは効果: セキュリティ修正適用による脆弱性軽減と運用中のJava環境の安定化。コンテナイメージのベース変更に伴うテスト/検証が必要になるが、Amazon Linux 2023ベースでの最新パッケージとセキュリティサポートが利用可能
  • マイグレーション影響: Corretto 8でJavaFXが同梱されなくなったため、デスクトップ/リッチクライアント系アプリはJavaFXの別配布への切替が必要
  • 運用効果: apt/yum/apkリポジトリ経由での自動更新により、セキュリティパッチ適用を効率化できる

技術的な注意点 ​

  • IAM権限: Corretto自体のダウンロードやリポジトリ設定に特別なAWS IAM権限は不要（ただし、ECRやAWS上でのデプロイにIAMが関係する場合は別途確認）
  • リージョン制限: Correttoの配布はグローバルだが、Dockerイメージや独自ミラーの配布場所によりアクセス経路が変わることがある。リージョン固有の制限は特に無し
  • コスト: Corretto自体は無償。ただし、移行検証やCI/CDの再設定、コンテナイメージの再ビルド・テストに人的/実行コストが発生する可能性あり
  • コンテナベース変更: デフォルトがAmazon Linux 2023に変更されたため、ベースイメージ差分（glibcやパッケージバージョン等）による互換性テストが必要。Amazon Linux 2イメージは非デフォルトオプションとして継続提供
  • Corretto 8 JavaFX: Corretto 8からJavaFXバイナリが含まれないため、JavaFXを使用する場合はOpenJFX等の別途配布物へ切替、あるいはアプリのモジュール化が必要。移行ガイド（GitHub）を確認すること
  • リポジトリ設定: apt/yum/apkリポジトリを利用して更新を受ける際は、リポジトリの署名鍵とパッケージソースを確認し、既存パッケージとの競合を避けるためにテスト環境での検証を推奨

参考情報 ​

[Organizations] AWS Organizations increases RCP quota to 2,000 per organization ​

概要 ​

AWS Organizationsのリソース制御ポリシー（RCP）の上限が組織あたり1,000件から2,000件に倍増しました。大規模なマルチアカウント環境で、より細かいリソース単位のアクセス制御を中央管理できるようになります。

変更内容・新機能の詳細 ​

今回の変更で、組織内で作成・管理できるResource Control Policies（RCP）のクォータが1,000件から2,000件に引き上げられました。RCPはリソースに対して許可できる外部プリンシパル（他アカウントのIAMエンティティなど）を中央で制限するためのポリシーであり、個々のリソースベースポリシーを都度変更せずに組織全体のアクセス境界を強制できます。RCPは権限を付与するものではなく“最大許可（permission boundary）”を定義する点に注意が必要です。今回の上限引き上げは追加料金なしで、AWS Organizationsをサポートするすべてのリージョンで有効になり、既存の組織は追加の操作なしに新しい上限が自動適用されます。なお、サービスごとのRCPサポート状況や個々のリソースタイプへの適用可否はサービスドキュメントで確認してください。

影響範囲・利用シーン ​

  • 対象ユーザー: 大規模マルチアカウント環境を運用するクラウド管理者、セキュリティチーム、SRE/運用チーム
  • 利用シーン: 数百〜数千のアカウントにまたがるリソースの外部アクセス制御（例: クロスアカウントのS3バケットアクセス制限、LambdaやSNSの外部プリンシパル制御）
  • 運用効果: RCP数の上限増加により、より細かなリソース単位で組織全体のアクセス境界を定義でき、従来の1,000ポリシー制限で生じていた設計上の制約を緩和できます
  • コスト影響: RCP作成自体に追加料金は発生しませんが、ポリシー管理の増加に伴う運用コスト（運用フロー・自動化の整備）は発生する可能性があります
  • リージョン制限: AWS Organizationsをサポートする全リージョンで有効（発表によればリージョン制限なし）

技術的な注意点 ​

  • IAM権限: RCPの作成/更新/削除やアタッチにはOrganizationsの管理権限が必要（例: organizations:CreatePolicy, UpdatePolicy, DeletePolicy, AttachPolicy, DetachPolicy, ListPolicies, DescribePolicy）。最小権限のロール設計を推奨します
  • サービス対応: すべてのAWSサービス/リソースがRCPをサポートしているわけではありません。RCPを適用したいリソースが対象サービスでサポートされているか、サービス別ドキュメントで事前確認してください
  • 評価と振る舞い: RCPは（リソースの）「最大許可」を定義するものであり、RCP単体ではアクセスを付与しません。リソースベースポリシーやIAMポリシーと組み合わせて評価され、RCPで許可されていないプリンシパルへのアクセスは拒否されます
  • 移行/運用: ポリシー数の上限増加によりポリシー管理が複雑化しやすいため、命名規則、タグ管理、自動化（IaC/テンプレート化）、CI/CDによるポリシーのレビュー導入を検討してください
  • クォータ管理: 新上限は自動適用ですが、将来的にさらに大きな上限が必要な場合はAWSサポートへ相談してください
  • コスト: RCP自体の作成に追加料金はありません。API呼び出しや管理ツールの使用による間接的コスト（オペレーション、監査）が発生する可能性があります
  • その他注意点: 既存のリソースベースポリシーとの整合性確認と、ステージング環境で十分な検証を行ってから本番適用することを推奨します

参考情報 ​

AI要約はOpenAI APIによって生成されています。

Copyright © 2026