AWS What's New Digest

Appearance

2026年08月13日 ​

[S3] Amazon S3 adds additional policy details to access denied error messages ​

概要 ​

Amazon S3のHTTP 403 Access Deniedエラーに、同一アカウント／同一組織内のリクエストに対して拒否の原因となった具体的なポリシーのARNが表示されるようになりました。これにより、どのポリシーが明示的な拒否を行っているかを素早く特定できます。

変更内容・新機能の詳細 ​

従来、S3のアクセス拒否メッセージは「ポリシーの種類」と「拒否理由」を返していましたが、同一アカウントまたは同一組織内のリクエストで複数の同一種類のポリシーが存在する場合、原因のポリシー特定には個別の確認が必要でした。今回の変更により、明示的なdenyが発生したケースに限り、HTTP 403レスポンスのエラーメッセージに該当するIAMおよびOrganizationsのポリシーのARNが含まれるようになりました。対象となるポリシー種別には、Service Control Policies（SCP）、Resource Control Policies（RCP）、アイデンティティベースポリシー（IAMユーザ/ロールのポリシー）、セッションポリシー、permission boundariesが含まれます。これにより、エラーメッセージ内のARNを辿って該当ポリシーを直接特定し、ポリシーの修正や例外設定、条件の見直しが行いやすくなります。機能はすべてのリージョン（AWS GovCloud（US）およびAWS中国リージョンを含む）で利用可能です。トラブルシューティングの補助として、ポリシーARNを確認した後はIAMポリシーやOrganizationsの管理コンソール、IAMポリシーシミュレータ、CloudTrailログを使って該当リクエストとポリシー評価の詳細を確認してください。

影響範囲・利用シーン ​

  • 対象ユーザー: S3を利用するクラウドエンジニア、セキュリティ担当者、SRE/運用チーム
  • 利用シーンまたは効果: アクセス拒否(403)発生時に、どのIAM/Organizationsポリシーが明示的にdenyしているかを即座に特定して原因特定と修正を短縮
  • 運用効果: ポリシー調査にかかる時間の短縮、運用応答のスピード向上、誤設定によるダウンタイムや権限トラブルの迅速な解決
  • 制限／注意点: 同一アカウントまたは同一組織内のリクエストに限定され、クロスアカウント（組織外）リクエストではARNが返らない場合がある

技術的な注意点 ​

  • IAM権限: エラーメッセージ自体の表示に追加の権限は不要ですが、該当ポリシーを閲覧・変更するにはIAM/Organizationsの該当権限が必要です
  • リージョン制限: 全リージョンで利用可能（AWS GovCloud（US）およびAWS中国リージョンを含む）
  • 可視性範囲: 明示的なdenyが発生したケースに限りポリシーARNが含まれます。許可不足やImplicit denyなど、すべての拒否理由でARNが返るわけではありません
  • SDK/CLIの挙動: SDKやAWS CLIは一般にHTTPエラー本文を例外メッセージとして返しますが、SDKの実装やエラーハンドリングによって表示が異なる場合があります。必要に応じてHTTPレスポンス本文を直接確認してください
  • ログ／監査: エラー表示は即時のデバッグに有効ですが、長期的な追跡や詳細なアクセス履歴はCloudTrailログやS3サーバーアクセスログで確認してください
  • コスト: 追加料金は発生しませんが、ポリシー変更や調査作業に伴う運用コストは発生し得ます

参考情報 ​

[Clean Rooms] AWS Clean Rooms supports minimum aggregation thresholds in custom analysis rules ​

概要 ​

AWS Clean RoomsがCustom analysis ruleタイプで最小集計しきい値をサポートしました。カスタムSQLクエリの出力行ごとに「少なくともN個の一意の識別子が含まれる」ことを強制でき、個人や小集団に関する結果の露出を防ぎます。

変更内容・新機能の詳細 ​

今回の機能追加により、データ提供者はCustom analysis ruleで「identity column（例：user_id）」と最小identity countを指定して、カスタムSQLクエリの出力に対して最小集計しきい値を強制できます。列ごとにより高いしきい値を設定することも可能で、さらにどの列をフィルタやジョインに利用できるかを明示的に指定できます。これにより、従来必要だった「事前承認済みの分析テンプレート」や手動のコードレビューに頼らず、アドホックなクエリでもプライバシー保護ルールを自動適用できます。実装上は、クエリが返す各出力行が指定した最小の一意の値（例：distinct user IDs）を満たすか評価され、満たさない行は結果から除外される形でプライバシーを保護します。たとえば、広告主と出版社の共同分析で、共通ユーザー数が1000未満の小さな郵便地域は結果から自動的に除外され、個人や少人数グループの特定リスクを低減します。リージョン対応はAWS Regions表に依存するため、利用前に対応リージョンを確認してください。

影響範囲・利用シーン ​

  • 対象ユーザー: データ提供者（データ所有者）、データ利用者（アナリスト、広告/マーケティングチーム）、SRE/セキュリティチーム
  • 利用シーン: アドホックなクロスパーティ分析（媒体プランニング、計測、マッチング分析）におけるクエリ実行時のプライバシー保護
  • 運用効果: 事前承認テンプレートや手動レビューを減らしつつ、出力データの小集団保護を自動化できるため分析の速度と安全性が向上
  • データプライバシー: 個人や小規模グループに関する推定・識別のリスクを低減し、規制・企業ポリシーへの準拠を支援

技術的な注意点 ​

  • IAM権限: Clean Roomsの分析ルール作成/更新・コラボレーション管理等の権限が必要。IAMポリシーでcleanrooms関連の操作を許可してください（コンソール/API両方）
  • リージョン制限: 全リージョンで利用可能とは限りません。利用前にAWS Regions表でAWS Clean Roomsの提供状況を確認してください
  • コスト: クエリ実行やデータ処理に関する通常のClean Rooms課金が適用される可能性があります。アドホッククエリ増加によるコスト影響を事前に確認してください
  • クエリ設計: 最小集計しきい値は「出力行ごとの一意の識別子（identity column）のカウント」で評価されます。GROUP BYや集計関数の設計によって挙動が変わるため、期待する集計単位で検証してください
  • 結果の挙動: しきい値未満の小さなグループは結果から除外される（自動フィルタリングの形になる）ため、レポート期待値とズレがないか確認が必要です
  • 互換性: 従来の事前承認テンプレートや手動レビュー方式は引き続き利用可能ですが、今回の機能によりカスタムSQLへ直接しきい値を適用できます

参考情報 ​

[Local Zones] AWS Global View now offers an interactive map view for AWS Regions and AWS Local Zones ​

概要 ​

AWS Global View コンソールに対して、AWS リージョンと AWS Local Zones を地理的に可視化するインタラクティブなマップ表示が追加されました。従来のリスト表示と切り替え可能で、グローバルなインフラ計画を一目で把握しやすくなります。

変更内容・新機能の詳細 ​

新しいインタラクティブマップ表示では、AWS Global View の「Regions and Zones」ページで有効化済みのリージョンと Local Zones、および利用可能なロケーションが地図上にプロットされます。ユーザーは従来のリスト表示とマップ表示をトグルで切り替えられ、地域ごとの有効化状況や分布を視覚的に確認しながらインフラの配置・拡張計画を立てられます。マップはコンソール内の UI 機能であり、すべてのパブリック AWS リージョンで利用可能です。具体的な利用は、AWS マネジメントコンソールの AWS Global View → Regions and Zones にアクセスして開始します。

影響範囲・利用シーン ​

  • 対象ユーザー: クラウドアーキテクト、インフラエンジニア、SRE、IT 管理者
  • 利用シーン: グローバル展開の設計や Local Zones の利用可否確認、複数アカウント/リージョンにまたがるインフラの可視化
  • 運用効果: リージョンや Local Zones の分布を直感的に把握でき、配置ミスや過剰な冗長設計の予防、展開計画の意思決定の高速化が期待できる

技術的な注意点 ​

  • IAM権限: AWS Global View を閲覧できるコンソールアクセス権限が必要です。必要な権限は組織構成や運用ポリシーにより異なるため、事前に管理者と確認してください（Org/アカウント横断表示に関する権限設定に注意）。
  • リージョン制限: 本マップ表示はすべてのパブリック AWS リージョンで利用可能とされています。特定リージョンでの機能制限やコンソールの表示差異はドキュメントを確認してください。
  • コスト: マップ表示自体に追加料金は発生しません。ただし、Local Zones の有効化や実際のリソース配置には各サービスの料金が適用されます。
  • 表示範囲: 表示される「有効化済み」や「利用可能」なロケーションは、アカウント/組織の設定や Local Zones の有効化状況に依存します。すべてのアカウント情報が表示されるかは権限次第です。
  • アクセス方法: AWS マネジメントコンソール → AWS Global View → Regions and Zones ページでマップ表示に切り替えて利用します。

参考情報 ​

[General] AWS IAM now provides role manager to set up IAM roles automatically ​

概要 ​

AWS IAMの「role manager」が一般提供され、コンソールで対応サービスをセットアップする際に必要なIAMロールを自動で作成・再利用できる機能が追加されました。管理者は有効/無効の切り替えやデプロイされるAWS管理テンプレートの確認が可能です。

変更内容・新機能の詳細 ​

role managerは、対応するAWSサービスのコンソールでリソースを作成するときに、そのサービスが必要とするデフォルトのIAMロールを自動で作成するか、既にアカウント内に存在していて要件に合致するロールを再利用します。ロールはAWS管理テンプレート（信頼ポリシーとアクセス許可ポリシー）に基づいて作成され、コンソール上でrole managerが作成したロールを識別できます。ユーザーはいつでもrole managerを有効/無効にでき、role managerが使用するAWS管理テンプレートの中身を確認できます。起動時点では6つのサービスコンソールに対応しており（例：AWS Lambda、Amazon EventBridge）、作成されたロールは通常のIAMロールとして完全に管理可能です。最小権限へ絞る場合は、role managerを無効化してIAM Access Analyzerの権限分析機能でポリシーを精緻化できます。role managerは全リージョンで利用可能ですが、AWS GovCloud (US) リージョンと中国リージョンでは未対応です。

影響範囲・利用シーン ​

  • 対象ユーザー: クラウドエンジニア、プラットフォーム運用チーム、アプリケーション開発者
  • 利用シーン: 新規サービスや関数（例: Lambda）の初期セットアップ時に手動でロールを作成する手間の削減
  • 運用効果: セットアップ工数の削減と一貫した初期ロール設定によりオンボーディングが速くなる。既存ロールの再利用により重複ロールの削減も期待できる
  • セキュリティ上の注意点（影響）: 初期はAWS管理テンプレートに基づく比較的広めの権限が付与される可能性があるため、本番環境ではAccess Analyzer等で権限を最小化する運用が推奨される

技術的な注意点 ​

  • IAM権限: role managerを有効化してロールを作成するには iam:CreateRole、iam:PutRolePolicy、iam:TagRole、およびサービスがロールを引き受けるための iam:PassRole 等の権限が必要になる可能性があります（管理者権限での操作が想定されます）。
  • リージョン制限: すべてのAWSリージョンで利用可能。ただし AWS GovCloud (US) リージョンおよび中国リージョンでは未対応です。
  • コスト: IAM自体の機能に追加料金は通常発生しませんが、作成したロールで利用する各AWSサービスの利用料は別途発生します。
  • テンプレート確認: role managerが使用するAWS管理テンプレートはコンソールで確認できるため、作成前に信頼ポリシーやアクセス許可の中身をレビューしてください。
  • 既存ロールの再利用: 条件に合致する既存ロールがあれば再利用されます。既存ロールの名前やタグに依存するワークフローがある場合は動作確認が必要です。
  • 最小権限化: role managerは初期作業を簡素化するための機能であり、長期運用ではIAM Access Analyzer等でポリシーを精緻化して最小権限にすることを推奨します。
  • 対応サービス: 発表時点で6つのサービスコンソールに対応（例としてAWS Lambda、Amazon EventBridgeが含まれる）。詳細な対応サービスリストは公式ドキュメントで確認してください。

参考情報 ​

[Govcloud Us] Amazon EKS now supports advanced Kubernetes control plane configuration parameters ​

概要 ​

Amazon EKSがKubernetesのコントロールプレーン（スケジューラ、コントローラマネージャー、APIサーバー）の細かな設定パラメータをユーザーが変更できるようになりました。これにより、ポッド配置戦略やHPAの応答性、イベント保持などクラスタ運用をより細かくチューニングできます。

変更内容・新機能の詳細 ​

今回の発表では、EKSで管理されるKubernetesコントロールプレーンのパラメータ（スケジューラ、コントローラマネージャー、APIサーバーの設定）をユーザーがカスタマイズできるようになりました。主な変更点は以下の通りです。

  • スケジューラのノード適合戦略を変更可能: 例として MostAllocated を設定すると既に利用率の高いノードへポッドを詰める（パッキング）動作になり、同じワークロードをより少ないノードで実行可能になります。デフォルトの LeastAllocated はノード間で負荷を分散しますので、ヘッドルーム重視と密度重視を運用方針に応じて切り替えられます。
  • HPA（Horizontal Pod Autoscaler）関連の応答性調整: スケーリングの閾値や評価間隔などを調整することで、需要変化に対するスケールアウト/インの反応速度を制御できます。
  • リソースライフサイクルやイベント保持期間の設定: APIサーバーやコントローラのログ/イベントの保持期間やリソースガベージコレクション挙動などを調整可能で、監査やトラブルシュート、リソース削除タイミングに影響します。

これらのパラメータはEKSの管理コンソール、AWS CLI、またはEKS API経由で設定可能（詳細は公式ドキュメント参照）。設定可能なパラメータのフルリストや各パラメータの意味、互換性（Kubernetesバージョン依存）については「Control plane configuration」ドキュメントに記載されています。なお、記事では「EKSが利用可能なリージョンで設定可能」と明記されています。

影響範囲・利用シーン ​

  • 対象ユーザー: クラスタ管理者、SRE、プラットフォームエンジニア
  • 利用シーンまたは効果: ポッド配置戦略の変更によるコスト最適化（MostAllocatedでノード数削減）、HPA応答性の微調整によるサービスの安定化、イベント保持期間の調整によるトラブルシュートや監査要件への対応
  • 運用効果: リソース利用率の改善、スケーリング挙動の制御によるSLA準拠の向上、ログ/イベント管理による障害解析の精度向上
  • 制約: 一部パラメータはKubernetesバージョンや使用しているコントローラとの互換性に依存する可能性があるため、事前検証が必要

技術的な注意点 ​

  • IAM権限: クラスタ設定を変更するためのEKS関連の管理権限が必要です（コンソール/CLI/APIを操作できるIAMロール/ポリシーを用意してください）。
  • リージョン制限: 記事本文では「EKSが利用可能なすべてのリージョンで設定可能」とされています。特定リージョン（例: GovCloud）の対応状況は管理コンソールまたはドキュメントで確認してください。
  • コスト: コントロールプレーン設定自体に直接の追加料金は通常発生しませんが、設定変更によりノード数やスケーリング挙動が変わるとインフラコストに影響します（例: MostAllocatedでノード数削減→コスト低減の可能性）。
  • Kubernetesバージョン互換性: 一部のフラグやパラメータはKubernetesの特定バージョンで導入/廃止されている場合があります。対象クラスタのバージョンでサポートされるパラメータか事前に確認してください。
  • 反映方法と影響: パラメータによっては即時反映、あるいはコントローラの再起動や既存ワークロードの再スケジューリングが必要になるものがあります。本番環境へ適用する前にステージングで影響を検証してください。
  • 監査/運用: 重要な挙動（スケジューリング戦略、HPA閾値など）を変更する際は変更履歴の保持とロールバック手順を整備してください。

参考情報 ​

[General] Amazon Quick adds deny by default for custom permissions ​

概要 ​

Amazon Quickのカスタム権限に「deny by default」(デフォルト拒否)のガバナンス設定が追加されました。これにより、新しいAI機能が公開された際に管理者が事前に利用をブロックできるようになります。

変更内容・新機能の詳細 ​

従来はAmazon Quickの新しいAI機能がリリースされると全ユーザーに利用可能となり、管理者は事後対応で制御する必要がありました。今回の機能追加により、カスタム権限プロファイルでAI機能カテゴリを「deny by default（デフォルト拒否）」に設定し、そのプロファイルをユーザー、IAMロール、またはアカウントに割り当てると、当該プロファイルに紐づくユーザーに対してリリース時の新しいAI機能は自動的に拒否されます。カテゴリを制限すると、そのカテゴリに含まれる既存の能力も同様に制限され、管理者は準備が整った個々の能力を明示的に許可する必要があります。この制限は設定したカスタム権限プロファイルのスコープ内でのみ有効です。設定はAmazon Quickの「Manage account」コンソールまたはAWS CLIから行えます。全てのAmazon Quick提供リージョンで利用可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: クラウド管理者、セキュリティ/ガバナンスチーム、SRE、プロダクトオーナー
  • 利用シーン: 新しく追加されるAI機能のリスク評価および段階的導入。組織ポリシーに沿った事前ブロックとテスト運用。
  • 運用効果: 新機能の突発的な利用を防ぎ、事前検証・承認ワークフローを実装できるため、セキュリティとコンプライアンスの管理が容易になる
  • 適用範囲: カスタム権限プロファイル単位で適用され、ユーザー/ロール/アカウント単位で細かくコントロール可能

技術的な注意点 ​

  • IAM権限: カスタム権限の管理とプロファイル割当てを行うには該当するAmazon Quickの管理APIやコンソール操作を実行できるIAM権限が必要です（管理者権限または同等のカスタムポリシーを用意してください）。
  • リージョン制限: Amazon Quickが提供されている全リージョンで利用可能です（記事時点）。ご利用リージョンでの提供状況は事前に確認してください。
  • コスト: 本機能自体に追加料金は発生しない想定ですが、運用・レビュー・テストに伴う人的コストや管理工数は増加する可能性があります。
  • 設定方法: コンソール（Manage account）またはAWS CLIでカスタム権限プロファイルのカテゴリを「deny by default」に設定し、対象ユーザー/ロール/アカウントへ割り当てします。カテゴリ制限は既存の能力にも影響するため注意してください。
  • 注意点: 制限はプロファイル単位のスコープであり、他のプロファイルやグローバル設定には影響しません。各AI機能を利用可能にするには管理者が明示的に許可する必要があります。管理操作や設定変更は監査ログ（CloudTrail等）で確認できるか事前に確認してください。

参考情報 ​

[Connect] Amazon Connect Customer supports manual assignment of queued agent-first callbacks ​

概要 ​

Amazon Connect Customerで、エージェントがWorklist上のキュー化された「agent-first」コールバックをメール・タスク・チャットと同列に閲覧し、自分で割り当てできるようになりました。これにより既に文脈を持つエージェントがコールバックをセルフアサインして解決を早められます（全リージョン対応）。

変更内容・新機能の詳細 ​

今回の機能追加により、Amazon Connect CustomerのWorklistアプリにキュー化されたagent-firstコールバックが表示され、エージェントはそれを自分に割り当て（claim／assign）できます。agent-firstコールバックはエージェント側が発信するアウトバウンド形式のコールバックで、既存のメール・タスク・チャットと同じワークリスト上で優先度や状況に応じて選択可能です。メリットとしては、既に顧客対応の文脈を把握しているエージェントが別のエージェントへハンドオフすることなく対応を継続できるため、リードタイムや顧客満足度の改善が期待できます。導入にはWorklistアプリの有効化と、キュー化されたコールバックを生成するコンタクトフロー設定（queued callbacks）の構成が必要です。詳細な操作や設定手順はドキュメント（Worklistアプリへのアクセス、queued callbacksの設定）を参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: コールセンターの一次対応エージェント、スーパーバイザー、コンタクトセンター管理者
  • 利用シーン: 顧客対応の文脈を持つエージェントが優先的にコールバックを引き受けて即時対応する場面（フォローアップ、継続対応、エスカレーション前の処理）
  • 運用効果: 他エージェントへのハンドオフ削減、応答までの時間短縮、顧客体験の向上および問題解決の迅速化

技術的な注意点 ​

  • IAM権限: Worklistやコール発信、タスク割当てに必要なAmazon Connectの権限（エージェント用のセキュリティプロファイルやRouting Profileの設定）を事前に確認・付与してください
  • リージョン制限: Amazon Connect Customerが提供されている全リージョンで利用可能です（リージョンごとのサービス提供状況はAWSコンソールで確認してください）
  • コスト: このUI/機能自体に追加料金は想定されていませんが、コールバックによるアウトバウンド通話分は通常のAmazon Connectの通話課金（通話分単位の課金等）が発生します。運用で発信量が増える場合はコスト影響を評価してください
  • 設定/運用: Worklistアプリの有効化、queued callbacksを生成するコンタクトフローの実装、およびエージェントのトレーニング（セルフアサインフローの運用ルール）を行う必要があります
  • 注意挙動: コールバックの割当はRouting Profileやスキル・権限に依存します。期待する割当動作を得るためにセキュリティプロファイル／ルーティング設定を事前に検証してください

参考情報 ​

[Aiml] Amazon Quick now supports data loss prevention with Microsoft Purview ​

概要 ​

Amazon QuickがMicrosoft Purviewと連携してデータ損失防止（DLP）ポリシーを適用できるようになりました。Purviewの感度ラベルを使い、Quickのチャット・スペース・ナレッジベース等でのファイル共有やアップロード時に自動的に制御（ブロック／警告／許可）できます。

変更内容・新機能の詳細 ​

今回のアップデートにより、組織は既存のMicrosoft Purviewで定義した感度ラベルをAmazon Quick環境へ拡張して適用できます。管理者は各ラベルごとに適用する実行アクション（block／warn／allow）を設定でき、設定に応じてファイルのアップロードや共有をリアルタイムに制御します。制御対象はQuickの主要な機能（チャット、スペース、ナレッジベースなど）で、たとえば「Highly Confidential」ラベルのファイルを共有スペースへのアップロードでブロックし、「Internal」ラベルは警告を表示して許可するといった細かな運用が可能です。追加ツールを導入せずに既存のPurviewガバナンスポリシーをQuickへ適用でき、エンタープライズの統一されたデータ保護フレームワークを維持できます。本機能は、Amazon Quickのエージェント機能（agentic capabilities）をサポートするAWSリージョンで利用可能です（詳細はリージョン表を参照）。

影響範囲・利用シーン ​

  • 対象ユーザー: セキュリティチーム、IT/クラウド管理者、コンプライアンス担当者、エンタープライズユーザー
  • 利用シーン: 社内外へのファイル共有制御、チャットや共有スペースへの機密情報流出防止、ナレッジベースへのドキュメント公開制御
  • 運用効果: 既存のPurviewラベルを活用することで追加のDLPツール不要に統一的なポリシー適用が可能になり、ガバナンス運用の簡素化と機密情報の漏洩リスク低減が期待できる

技術的な注意点 ​

  • IAM権限: Quick側の管理者権限とMicrosoft Purview側の管理者（あるいはラベル管理）権限が必要になる可能性があります。導入前に両環境での権限を確認してください
  • リージョン制限: 本機能はAmazon Quickのエージェント機能をサポートするAWSリージョンで利用可能です。東京リージョンなど利用可否はAWSリージョン表で確認してください
  • 互換性/前提条件: Microsoft Purviewで感度ラベルを既に運用していることが前提です。Purview側のラベル設計とQuick側でのラベルマッピング設定が必要です
  • 設定/運用: 管理者は各感度ラベルに対してblock/warn/allowを設定します。ラベルの適用タイミング（アップロード時、共有時等）やログ取得・監査の運用フローを事前に設計してください
  • コスト: AWS側アナウンスでは追加ツールは不要とされていますが、QuickおよびMicrosoft Purviewそれぞれの利用料金は継続して発生します。統合設定に伴う運用工数やログ保管コストも考慮してください

参考情報 ​

AI要約はOpenAI APIによって生成されています。

Copyright © 2026