AWS What's New Digest

Appearance

2026年08月14日 ​

[Simple Email Service] Amazon SES click tracking now supports custom URL paths for mobile app deep linking ​

概要 ​

Amazon SESがHTMLリンクに新しいses:custom-path属性を追加して、クリックトラッキングを有効にしたままモバイルアプリのDeep Link（iOSのUniversal Links / AndroidのApp Links）でパス部分を渡せるようになりました。全リージョンのSES提供地域で利用可能です。

変更内容・新機能の詳細 ​

新しく追加された HTML 属性 ses:custom-path を <a> タグに付与すると、SES のクリックトラッキング用リダイレクト URL にそのパスセグメントを保持して転送します。これにより、モバイル OS は受け取った URL のパス部分をアプリの Universal Links（iOS）や App Links（Android）設定と照合でき、エンゲージメント（開封・クリック）トラッキングを無効にせずにディープリンクを実現できます。利用手順の概要は次の通りです：1) SES のクリックトラッキング用カスタムリダイレクトドメインを設定する、2) そのドメインに Apple App Site Association（AASA）または Digital Asset Links の検証ファイルをホストする、3) HTML メール中のリンクに ses:custom-path 属性を追加する。SES の既存のクリックトラッキング機能を基に動作し、同機能が有効な全ての SES 提供リージョンで利用可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: モバイルアプリを持つ開発者、マーケティング担当者、メール配信システム運用者
  • 利用シーン: プロモーションメールやトランザクションメールからアプリ内の特定画面へ遷移させるディープリンクを行いつつ、クリック／開封のエンゲージメントをトラッキングしたいケース
  • 運用効果: エンゲージメント分析を維持しながらモバイルアプリへシームレスに遷移させることができ、コンバージョン測定やユーザー導線改善に寄与する
  • 前提条件: SES のカスタムリダイレクトドメインが設定されていること、当該ドメインに AASA または Digital Asset Links 検証ファイルが正しくホストされていること

技術的な注意点 ​

  • IAM権限: カスタムドメイン設定やメール送信設定の変更には SES および Route53/S3 等の設定権限が必要です（例: ses:CreateConfigurationSet, ses:PutConfigurationSetDeliveryOptions などの権限を確認してください）
  • リージョン制限: 本機能は "Amazon SES が利用可能な全リージョン" で利用可能とされていますが、利用前に対象リージョンでの SES 機能（カスタムリダイレクトドメイン／トラッキング）が有効か確認してください
  • コスト: SES のクリック／開封トラッキング自体に追加課金の記載はありませんが、カスタムドメイン用のホスティング（例: S3／ホスティングサービス）やドメイン運用のコストが発生する可能性があります
  • 前提条件／注意点: ses:custom-path はリンクのパスセグメントを追跡用リダイレクトに保持して渡すための属性です。クエリパラメータやフラグメントの扱いは実装に依存するため、必要なパラメータがある場合は検証してください。AASA の配置場所（/.well-known/apple-app-site-association かルート）や MIME タイプ等の Apple／Android 要件を満たす必要があります
  • 実装ポイント: クリックトラッキング（カスタムリダイレクトドメイン）の事前設定、AASA／Digital Asset Links の正しいホスティング、HTML メール中の <a> タグに ses:custom-path="/your/path" を付与することを忘れないでください

参考情報 ​

[Management Console] AWS Billing and Cost Management introduces Managed Dashboards ​

概要 ​

AWS Billing and Cost Management に「Managed Dashboards」が追加されました。事前設定済みで読み取り専用のダッシュボード群が提供され、設定なしでアカウントのコスト洞察をすぐに得られます。

変更内容・新機能の詳細 ​

Managed Dashboards は AWS が用意・維持する5種類のキュレート済みダッシュボードを Billing and Cost Management のダッシュボード一覧に表示します。主な内容は以下のとおりです。

  • Cost Overview & Trends: 過去12か月のサービス別／アカウント別／リージョン別の支出パターンを可視化し、将来の支出予測（フォーキャスト）を表示します。
  • Compute および Database ダッシュボード: 各カテゴリ内の支出内訳に加え、コミットメント（Reservations/Savings Plans）カバレッジや利用率（utilization）などの指標を同一ビューで表示します。
  • Reservations および Savings Plans ダッシュボード: 購入したコミットメント（RI／Savings Plans）がどれだけ有効に使われているかを金額ベースで定量化し、ギャップや過剰購入・未使用分を把握できます。 全ての Managed Dashboards は読み取り専用で AWS がメンテナンスを行います。任意のダッシュボードは複製して編集可能なカスタムコピーを作成でき、個別ウィジェットを既存ダッシュボードに追加したり、PDF/CSV でエクスポートすることも可能です。セットアップ不要でアカウントデータが自動で反映されるため、FinOps の初期導入や複数アカウントの標準化されたコスト可視化に有用です。AWS の商用リージョン全域で追加料金なしに利用できます。

影響範囲・利用シーン ​

  • 対象ユーザー: FinOps担当者、クラウドコスト管理チーム、SRE/運用、IT経営層
  • 利用シーンまたは効果: 初期設定なしでアカウント単位／組織横断のコスト可視化を即座に始められる。予算策定、コミットメント最適化、サービス別・リージョン別の支出分析、未使用リソースの検出に適する
  • 運用効果: レポート作成やダッシュボード作成の工数削減、標準化されたベースラインにより複数アカウント比較が容易になり意思決定が高速化される

技術的な注意点 ​

  • IAM権限: Billing/Cost Management コンソールを表示するための権限（例: 請求情報の表示権限）が必要です。ダッシュボードを複製・編集する場合は該当ダッシュボードの作成・編集権限が必要になります（組織やアカウントのロール設定を確認してください）。
  • リージョン制限: AWS の商用リージョン（Commercial Regions）で利用可能とされています。特殊なリージョン（AWS GovCloud、中国リージョンなど）は対象外の可能性があるため個別確認してください。
  • コスト: Managed Dashboards 自体に追加料金は発生しません（発表時点）。ただし、組織横断データや詳細レポートを取得するための既存のサービス設定（Cost Explorer や Organizations の設定等）に起因する運用コストや権限管理コストは別途発生する場合があります。
  • データの範囲と鮮度: ダッシュボードは過去12か月のデータや AWS のフォーキャストを参照します。データの更新頻度や計算方法（予測モデル等）は AWS が管理するため、詳細はドキュメントを参照してください。
  • 組織（Organizations）での可視性: 複数アカウントを横断して可視化する場合、請求統合（マスター/ペイアカウント）や適切なアクセス許可の構成が必要です。リンクされたアカウントのデータが期待通り表示されない場合は Organizations と請求アクセス設定を確認してください。
  • 編集・複製の注意: Managed Dashboards は読み取り専用です。カスタマイズしたければ複製して編集するワークフローになります。複製後のカスタムダッシュボードはユーザー側の管理対象です。

参考情報 ​

[Client Vpn] AWS Client VPN now supports CLI, administration controls, and faster connections ​

概要 ​

AWS Client VPNのクライアントが再構築され、バージョン6.0.xでCLIサポート、管理者向けコントロール、接続確立の高速化が利用可能になりました。これによりVPN接続の自動化や組織全体での構成管理が容易になります。

変更内容・新機能の詳細 ​

主な変更点は次のとおりです。

  • CLIサポート: 新しいAWS VPN Client v6.0.xはGUIと機能的に同等のコマンドラインインターフェースを提供します。背景実行やスクリプトからの接続/切断が可能になり、CI/CDやInfrastructure as Code、運用自動化ワークフローへ組み込みやすくなりました。
  • 管理者コントロール: クライアント側でプロファイルのスコープ指定（特定ユーザーへ割当て）、デバイス上で全ユーザー向けに配布するグローバルプロファイル管理、承認済み設定の強制など、組織的なポリシー適用が可能です。これにより従来のように各ユーザーが自由にプロファイルを配布・変更するリスクを低減できます。
  • OpenVPN3ベースでの再構築: クライアントはOpenVPN3エンジンを採用しており、サポートOS全体で接続確立時間が短縮されています。
  • GUIとCLIの共存: GUIとCLIは同時に動作し、いずれかのインターフェースに依存せず接続が持続します。既存のAWS Client VPNエンドポイントとの後方互換性を保持しているため、エンドポイント側の変更は不要です。
  • 対応プラットフォーム: Windows（x64/ARM）、macOS（x64/ARM）、Linux（x64）向けに提供されています。
  • コスト: クライアント自体に追加料金はなく、従来のAWS Client VPNの標準料金が適用されます。 これらにより、企業はVPN接続を安全かつ自動化された方法で配布・管理できるようになり、オンボーディングや運用の効率化が期待できます。

影響範囲・利用シーン ​

  • 対象ユーザー: ネットワーク/セキュリティ担当者、SRE、クラウドエンジニア、エンタープライズIT管理者
  • 利用シーンまたは効果: VPN接続の自動化（CI/CDや起動スクリプトへの組込み）、組織ポリシーに基づくクライアント構成の一元管理、エンドユーザーの手動設定削減
  • 運用効果: 接続確立時間の短縮によるユーザー体験向上、プロファイルのスコープ制御による設定逸脱の防止、導入/回復運用の自動化で運用負荷を低減

技術的な注意点 ​

  • IAM権限: 管理者コントロールやプロファイル配布を行うには、Client VPNエンドポイントやクライアント設定を操作できるIAM権限が必要です（管理者ロールや該当API権限を確認してください）。
  • 端末権限: グローバルプロファイルのデバイス配布や一部の管理操作には、クライアント端末上の管理者権限が必要になる場合があります。展開方法に応じてOSの管理ツール（MDM等）を併用してください。
  • リージョン制限: AWS Client VPN自体を提供しているリージョンで利用可能です。機能のロールアウト状況や地域差は公式ドキュメント/コンソールで確認してください。
  • コスト: クライアントの追加料金はありませんが、従来のAWS Client VPNのエンドポイント料金（接続時間単位など）は発生します。大規模ユーザー増加時のコスト影響を見積もってください。
  • 互換性: v6.0.xは既存のClient VPNエンドポイントと後方互換性があり、エンドポイント設定の変更は不要です。
  • 運用留意点: CLIを用いた自動接続はスクリプト/シークレット管理（認証情報や証明書取り扱い）のベストプラクティスに従って実装してください。接続情報の安全な配布にはIAMと端末管理の組合せが推奨されます。

参考情報 ​

[Bedrock] Claude Opus 5 is now available in AWS GovCloud (US) ​

概要 ​

AWS GovCloud (US) で Claude Opus 5 が利用可能になりました。ゼロデータ保持（ZDR）がデフォルトで有効となり、規制要件の厳しい環境で高度なコーディングや長時間実行エージェント、長文解析が可能になります。

変更内容・新機能の詳細 ​

Claude Opus 5 は Amazon Bedrock 経由で提供される最新の Opus モデルで、コーディング支援、長時間実行する自律エージェント、高度な長文・複雑解析能力で改善が図られています。提供方法は bedrock-runtime エンドポイントが AWS GovCloud (US) の両リージョンで利用可能であり、bedrock-mantle エンドポイントは AWS GovCloud (US‑West) で利用可能です。Amazon Bedrock の実装では ZDR（Zero Data Retention、デフォルト有効）によりリクエスト/レスポンスのデータが保持されない設定が適用され、データは AWS のインフラ内にとどまりリージョン内データ居住性が維持されます。Bedrock の統合機能（Guardrails、Knowledge Bases など）を通じて、ポリシー適用や組織知識の活用が可能です。開発者・運用者は既存の Bedrock API/SDK を使ってモデル呼び出し（推論）を行い、長時間実行するエージェントを運用する際はステート管理や再試行・チェックポイント戦略の設計が推奨されます。料金や対応リージョンは Bedrock の通常の課金・地域ポリシーに従いますので、導入前に価格と地域の可用性を確認してください。

影響範囲・利用シーン ​

  • 対象ユーザー: 政府機関、規制業界（防衛・ヘルスケア・公共部門）やコンプライアンス重視の企業、Bedrock を利用するソフトウェア開発チーム
  • 利用シーン: 大規模コードベースの自動理解・生成、長時間（数時間〜一晩）稼働する自律エージェントの運用、長文ドキュメントや調査レポートの高度解析
  • 運用効果: データがリージョン内に留まる ZDR 環境下で高度なモデル能力を活用できるため、コンプライアンス要件を満たしつつ生産性（コード品質・分析精度・エージェントの信頼性）を向上できる

技術的な注意点 ​

  • IAM権限: Bedrock を呼び出すための IAM 権限（Bedrock の実行/呼び出し権限や必要な KMS アクセス）が必要です。事前にポリシーを確認してください。
  • リージョン制限: bedrock-runtime は両 AWS GovCloud (US) リージョンで利用可能。bedrock-mantle は AWS GovCloud (US‑West) のみで提供されています。他のパブリックリージョンとは別の可用性となるため注意してください。
  • コスト: Opus 5 の利用は Bedrock の課金体系に従い、推論リクエスト数やトークン使用量に基づく追加料金が発生します。事前に Bedrock の価格表を確認してください。
  • データ保持/コンプライアンス: ZDR がデフォルトで有効。これによりサービス側でリクエストと応答を保持しない設定となりますが、ログ収集や組織側での監査ログ（CloudTrail 等）の設定によっては別途データが残る場合があるため設計時に確認してください。
  • ネットワーク/エンドポイント: Bedrock へのアクセス方法（インターネット経由、VPC エンドポイント/PrivateLink の利用等）を確認し、必要に応じてネットワーク経路とセキュリティグループを構成してください。
  • 長時間実行エージェント: エージェントを数時間〜一晩動かす運用では、ステート管理、チェックポイント、再試行ポリシー、エラー回復設計（ロールバックや途中保存）を実装してください。
  • 互換性/統合: Bedrock の Guardrails や Knowledge Bases と連携可能ですが、それらの設定（アクセス権、データソースの接続）を事前に確認する必要があります。

参考情報 ​

[General] Amazon Quick Microsoft 365 extensions are now generally available ​

概要 ​

Amazon QuickのMicrosoft 365向け拡張機能（Excel/PowerPoint/Word/Outlook）が一般提供（GA）になりました。QuickのAIをMicrosoft 365アプリ内で直接利用し、文書の赤字修正、財務モデル作成、プレゼン資料生成、受信トレイ管理などの作業を自動化できます。

変更内容・新機能の詳細 ​

各拡張機能は以下のような機能を提供します。Excel拡張: 複雑なスプレッドシート分析（ピボットテーブル、グラフ作成）、データの取り込み・クレンジング、自動モデル作成支援。PowerPoint拡張: Quickのデータから組織定義テンプレートを用いてスライドを生成・整形し、プレゼン資料を短時間で作成。Word拡張: Wordのプリミティブ（段落・見出し・スタイル等）に基づくフォーマット済み文書生成、トラックチェンジ有効化での大規模編集、コメントへのレビュアー参加。Outlook拡張: 受信トレイとカレンダー操作（メール優先順位付け、受信箱整理、会議スケジュール、返信ドラフト作成）を、ユーザーのQuickデータと受信箱全体のコンテキストを元に実行。これらはチーム横断で日常業務を変革し、ファイナンスでのモデル構築、セールスの提案書自動化、マーケのブランディング済みスライド生成、リーガルの契約レビュー効率化、運用のメールワークフロー自動化、ITのデータ分析自動化などに適用できます。拡張機能はUS East (N. Virginia)、US West (Oregon)、Asia Pacific (Sydney)、Europe (Ireland)、Asia Pacific (Tokyo)、Europe (Frankfurt)で利用可能です。詳細・入手は記事およびQuickのダウンロードページを参照してください。

影響範囲・利用シーン ​

  • 対象ユーザー: Microsoft 365を業務で利用するビジネスユーザー（財務・営業・マーケティング・法務・運用・IT）とSaaS/IT管理者
  • 利用シーンまたは効果: ドキュメントの高速生成・校正、スプレッドシートの高度な分析・モデル化、ブランド準拠のプレゼン作成、受信トレイ／カレンダーの自動管理により日常業務の工数削減と品質向上を実現
  • 運用効果: 手作業の削減による工数削減、レビューや提案作成の短縮、メール対応の優先順位付けによる応答性向上、専門家リソースの負荷軽減

技術的な注意点 ​

  • IAM権限: Microsoft 365側で拡張機能（Add-in）をインストール・利用するためのテナント管理者権限や、拡張機能がユーザーデータ（メール、ファイル、カレンダー）へアクセスするための管理承認（admin consent）が必要になる可能性があります。AWS側のAmazon Quickアカウント/権限も必要です。
  • リージョン制限: 現時点での提供リージョンは US East (N. Virginia)、US West (Oregon)、Asia Pacific (Sydney)、Europe (Ireland)、Asia Pacific (Tokyo)、Europe (Frankfurt) のみです。ご利用のリージョンで未提供の場合は利用できません。
  • コスト: 記事では料金詳細に触れていませんが、Amazon Quickの利用料や拡張機能の利用に伴う追加課金、及び関連するAWSリソース（API呼び出し、データ転送等）の料金が発生する可能性があります。価格プランを事前に確認してください。
  • 対応環境: Microsoft 365（Office Add-insをサポートするWeb/デスクトップ環境）が前提です。古いオンプレ版OfficeやAdd-in非対応クライアントは利用できない可能性があります。
  • データ保護・コンプライアンス: 拡張機能はメール・ドキュメント・カレンダー等の機密データにアクセスするため、組織のデータ保護方針、DLP、リージョン別データ保管要件、監査ログ要件を事前に確認してください。
  • 編集の可視化: Wordのトラックチェンジや自動編集は実際の文書を変更します。変更管理ワークフロー（レビュー／承認）を整備してから運用することを推奨します。

参考情報 ​

[Ec2] Spot Placement Score now includes Local Zones ​

概要 ​

Spot placement scoreがAWS Local Zonesの情報を含められるようになりました。これによりローカルゾーンを考慮したSpot容量の成功確率評価を取得でき、より広い選択肢でSpot配置の判断が可能になります。

変更内容・新機能の詳細 ​

Spot placement scoreは、要求するターゲット容量やコンピュート要件（インスタンスタイプ、容量など）を評価して、リージョンまたはアベイラビリティゾーン単位でSpotリクエストの成功しやすさをスコアで返すサービスです。以前はローカルゾーンの容量情報がゾーン/リージョンスコアに含まれていませんでしたが、今回のアップデートによりローカルゾーンをオプションで含めたレスポンスが取得可能になりました。これにより、ローカルゾーンの低レイテンシやユーザー配置に着目した選定がしやすくなります。操作はEC2 Spotコンソール、AWS CLI、SDK経由で行え、呼び出し時にローカルゾーンを含めるオプションを指定してスコアを取得します。スコアはあくまで“成功しやすさ”の指標であり、実際の容量確保を保証するものではありません。

影響範囲・利用シーン ​

  • 対象ユーザー: Spotインスタンスを利用するアプリケーション開発者、クラウドアーキテクト、SRE/運用チーム
  • 利用シーン: 低レイテンシを優先するワークロードをローカルゾーンに配置したい場合のSpot容量評価、リージョン/ゾーン間の代替候補選定、配置ポリシー設計時の事前評価
  • 運用効果: ローカルゾーンを含めた評価によりSpot容量の選択肢が増え、失敗率の低い配置先の発見やコスト最適化につながる

技術的な注意点 ​

  • IAM権限: Spot placement scoreを呼び出すためのEC2関連API呼び出し権限が必要です（管理者権限でない場合は必要なAPIアクセスを許可してください）。
  • リージョン制限: ローカルゾーンを含めるオプションはローカルゾーンが存在するリージョンで意味を持ちます。全リージョンでローカルゾーンが利用可能なわけではありません。
  • API/CLI/SDK: コンソールに加え、CLI/SDKからローカルゾーンを含めるオプションを指定して呼び出せます（呼び出しパラメータとしてローカルゾーンの包含オプションを設定）。
  • スコープと精度: ローカルゾーンは物理的に小さなキャパシティ領域であるため、スコアは短時間で変動する可能性があります。スコアは推定値であり確実な確保を保証しません。
  • コスト: スコア取得自体に通常大きな追加料金は発生しないケースが多いですが、API呼び出しやログ・モニタリングに伴う通常の料金やデータ転送費用は発生し得ます。
  • 運用上の注意: ローカルゾーンに配置する際は対応するリージョンのネットワーク設計、サブネット/ルーティング、IP割当、サービスのリージョン制約を事前に確認してください。
  • その他: 全てのローカルゾーンやインスタンスタイプが常に評価対象となるとは限りません。実運用前に該当リージョン/ゾーンでのテストを推奨します。

参考情報 ​

[Bedrock] Daybreak Red and Daybreak Blue from OpenAI are now available to eligible customers on Amazon Bedrock ​

概要 ​

OpenAIのサイバー防御向けモデル「Daybreak Red（GPT-5.6 Cyber）」と「Daybreak Blue（GPT-5.6 Sol）」が、対象顧客向けにAmazon Bedrock上で利用可能になりました。どちらもDaybreakイニシアチブの一部で、攻撃対応や脆弱性調査といったセキュリティ業務向けに設計されています。

変更内容・新機能の詳細 ​

Daybreak Blueは防御側の標準ワークフロー（脆弱性発見、検知エンジニアリング、インシデント対応など）向けの出発点で、一般的なセキュリティ業務に適した応答ポリシーが設定されています。Daybreak Redは脆弱性調査、エクスプロイト再現、軽減策開発といった高度かつ認可された作業向けで、より低い拒否閾値（より踏み込んだ出力を許容）を持つ一方で、厳格な本人確認、監査ログ、アクセス制御が要求されます。両モデルはAmazon Bedrockの次世代推論エンジン上で動作し、チップレベルでのZero-Operator Access（ZOA：オペレータによるアクセス不可）が適用されます。推論データはモデル学習に利用されず、OpenAIにデータ共有をオプトインする必要はありません。モデル名はそれぞれ Daybreak Red: GPT-5.6 Cyber、Daybreak Blue: GPT-5.6 Sol で、現時点では US East (N. Virginia)（us-east-1）リージョンの対象顧客に提供されています。利用にはOpenAI側のDaybreakアクセス登録（審査）が必要で、承認後にAWSアカウントチームと連携してBedrockでのアクセス権を申請します。

影響範囲・利用シーン ​

  • 対象ユーザー: セキュリティチーム、脆弱性研究者、SOC/IRチーム、セキュリティSRE
  • 利用シーン: 脆弱性発見と優先順位付け、検知ルールとシグネチャの生成、インシデント調査の迅速化、エクスプロイト再現や緩和策の開発（認可された環境で）
  • 運用効果: 調査スピードと深度の向上、検知・対応の自動化促進、専門家の工数削減と早期対応による被害縮小
  • コンプライアンス/監査: ZOAとデータ取り扱いポリシーにより、機密データの外部露出リスクを低減しやすい（ただし内部ポリシーや規制確認は必要）
  • 導入障壁: OpenAIのDaybreak登録と承認プロセス、強化された本人確認・アクセス管理が要求されるため、準備工数と管理負担が発生

技術的な注意点 ​

  • IAM権限: Bedrockの利用権限に加え、AWSアカウントチーム経由でモデルへのアクセス許可が必要。付与するロール/ポリシーは最小権限で設計してください
  • Enrollment/承認: OpenAIのDaybreakアクセス登録（審査）が必須。承認後にAWS側で正式にアクセスを要求するフローです
  • リージョン制限: 現時点では US East (N. Virginia)（us-east-1）のみ提供。その他リージョンは未対応の可能性あり
  • データ利用: 推論データはモデルの学習に使用されないと明記されています。OpenAIへのデータ共有オプトインは不要
  • ZOA（Zero-Operator Access）: チップレベルでのZOAが適用され、ベンダー側オペレータによる推論データへのアクセスが制限されますが、内部ログやメタデータの取り扱いは設計次第です
  • コスト: Bedrockの推論課金（vCPU/GPU相当の課金やリクエスト単位課金）が発生します。Daybreakは高度利用が想定されるためコスト影響を見積もってください
  • アクセス制御/監査: Daybreak Redはより強固なID検証と監査が要求されるため、MFA、CIAM、IDプロバイダ連携、監査ログ保存ポリシーの準備を推奨
  • SDK/統合: BedrockのAPI/SDK/コンソール経由で呼び出し可能。既存のセキュリティワークフロー（SIEM、SOAR）との統合設計を検討してください
  • その他: 特に懸念点が無ければ、上記以外の注意点はありません

参考情報 ​

[Certificate Manager] AWS Certificate Manager supports switching from e-mail to DNS validation ​

概要 ​

AWS Certificate Manager (ACM)で、既存の公開TLS証明書のドメイン検証方式をメールからDNSに切り替えられるようになりました。証明書を再発行せずにARNを維持したまま切替可能で、自動更新の確実化に役立ちます。

変更内容・新機能の詳細 ​

ACMは既存の公開証明書について、メールベースのドメイン検証からDNSベースの検証へ変更できる機能を提供します。切替はACMコンソールまたはAPI（UpdateCertificateOptions）で実行し、各ドメインごとにACMが発行するCNAMEレコードをDNSに追加することで検証が完了します。CNAMEレコードの追加には最大72時間の猶予があります。証明書自体の再発行やARNの変更は発生しないため、既存のARN参照（CI/CD、ロードバランサ、他サービス統合）はそのまま機能します。ドメイン検証状況はコンソールおよびListCertificateDomainValidations APIで確認可能です。背景として、CA/B Forumの方針によりメール検証は段階的に廃止されており、ACMは2027年3月31日以降のメール検証による新規発行を停止、2027年9月30日以降はメール検証済み証明書の更新を停止します（CA/Bの廃止は2028-03-15が有効日）。ACMは新規証明書に対してDNS検証を推奨し、Amazon CloudFrontの証明書ではHTTP検証が推奨されています。機能はACM証明書が提供されている全リージョンで利用可能です。

影響範囲・利用シーン ​

  • 対象ユーザー: インフラ/クラウドエンジニア、セキュリティチーム、DevOps/CI-CD運用者
  • 利用シーン: 既存のメール検証済み公開証明書をダウンタイム無しでDNS検証へ移行し、自動更新を有効にしたい場合
  • 運用効果: ARNを変更せずに検証方式を切替できるため、パイプラインやロードバランサ設定の修正不要で更新自動化を実現
  • 移行の必要性: CA/B Forumの方針に伴うメール検証廃止に対応するため、2027年中にDNSへ移行する必要がある
  • システム依存: 各サブジェクト名（SAN）ごとにCNAME追加が必要。DNS管理が可能であることが前提

技術的な注意点 ​

  • IAM権限: UpdateCertificateOptions、ListCertificateDomainValidationsなどのACM操作が可能なIAM権限が必要（acm:UpdateCertificateOptions等）
  • リージョン制限: ACM証明書が提供されている全リージョンで利用可能。ただしCloudFront向けはグローバル証明書挙動に注意
  • コスト: 機能利用自体に追加料金は発生しませんが、Route 53以外のDNSプロバイダ利用時の管理コストは別途発生する可能性あり
  • DNS設定: ACMは各ドメインに対してCNAMEレコードを提供。ワイルドカードやSANを含む各名前ごとにレコード追加が必要で、DNS伝播に伴う時間（最大72時間）を考慮
  • 自動更新: DNS検証に切替することでACMによる自動更新が可能に（メール検証では自動更新が制約される）
  • API/操作: コンソールの他、APIは UpdateCertificateOptions（検証方式切替）および ListCertificateDomainValidations（検証ステータス確認）を使用
  • 既存ARN: 切替により証明書のARNは変更されないため、既存参照は影響を受けない
  • 推奨: 新規はDNS検証を推奨。CloudFront配下の証明書についてはHTTP検証を検討
  • 注意事項: DNSプロバイダでCNAME追加ができない／制限がある場合は移行が難航する可能性あり。証明書の有効期限に余裕を持って移行を実施すること

参考情報 ​

AI要約はOpenAI APIによって生成されています。

Copyright © 2026