AWS What's New Digest

Appearance

2026年08月31日 ​

[Secrets Manager] AWS Workload Credentials Provider is now available as a one-click install for Linux and Windows ​

概要 ​

AWS Secrets Manager は、AWS Workload Credentials Provider (AWCP) のワンクリックインストールを Amazon Linux と Windows 向けに提供開始しました。従来のソースからビルドする多段階手順を廃し、事前ビルド済みの署名バイナリや Amazon Linux リポジトリ経由で短いコマンドで導入できるようになりました。

変更内容・新機能の詳細 ​

AWCP は Secrets Manager のシークレットを解決してローカルにキャッシュし、アプリケーションがローカルの HTTP エンドポイント経由でシークレットを取得できるエージェントです。また、ACM（AWS Certificate Manager）から証明書を取得する機能もサポートします。今回のアップデートにより、Linux（x86_64 / ARM64）と Windows（x64）向けに事前ビルド済みでコード署名されたバイナリを公開ダウンロード URL から取得可能となり、Amazon Linux 2023 ではリポジトリからワンコマンドでインストールできます。バイナリは署名済みのため整合性と真正性が保証され、インメモリキャッシュでシークレットを保持することで低レイテンシなローカル取得を実現します。利用可能リージョンは Secrets Manager が利用可能な全リージョンで、追加料金はなく標準の Secrets Manager 料金のみ適用されます。これにより、従来必要だった Rust によるビルドや複数ステップの設定作業が不要になり、導入と運用の負担が軽減されます。

影響範囲・利用シーン ​

  • 対象ユーザー: アプリケーション開発者、SRE/運用チーム、セキュリティエンジニア
  • 利用シーンまたは効果: EC2 上での秘密情報（API キー、DB パスワード、証明書）の安全な配布とローカル取得の簡易化。ACM 連携により TLS 証明書の配布も自動化可能
  • 運用効果: ソースビルドや Rust の習得が不要になり、インスタンスへの導入が迅速化。ローカル HTTP エンドポイントとインメモリキャッシュによりシークレット取得のレイテンシ低下と Secrets Manager API 呼び出し頻度の削減が期待できる
  • 導入のしやすさ: Amazon Linux 2023 はリポジトリからワンコマンドでインストール可能、Windows Server でも事前ビルド済みバイナリで簡単に導入できるためスケール導入が容易

技術的な注意点 ​

  • IAM権限: AWCP が Secrets Manager と ACM にアクセスするための適切な IAM ポリシー（secretsmanager:GetSecretValue、acm:ExportCertificate 等）が必要です。エージェント用の最小権限設計を検討してください
  • リージョン制限: 利用可能リージョンは AWS Secrets Manager が提供されている全リージョンです（記事記載）。ただし、導入前に対象リージョンで Secrets Manager と ACM が利用可能か確認してください
  • OS/アーキテクチャ: Amazon Linux 2023 (x86_64, ARM64) と Windows Server (x64) のみがワンクリックインストールでサポートされています。その他のディストリビューションやカスタム OS では従来通りソースビルドが必要になる可能性があります
  • セキュリティ: バイナリはコード署名済みですが、実行環境のセキュリティ（インスタンスのアクセス制御、ローカル HTTP エンドポイントへのネットワーク制限）を必ず実施してください。シークレットはインメモリでキャッシュされるため、メモリダンプ対策やプロセス権限の最小化が重要です
  • コスト: AWCP のワンクリックインストール自体に追加料金はありませんが、Secrets Manager や ACM の利用料金は通常通り発生します。キャッシュにより API 呼び出しは減る可能性があるため長期的にはコスト低減が見込めます
  • 運用: エージェントは常駐プロセスとして動作するため、サービスとしての自動起動設定、ログ管理、監視（ヘルスチェック・メトリクス）を導入してください
  • 互換性: 既存の AWCP を手動ビルドしている環境から移行する場合は設定（config）やバージョン互換性を確認してください

参考情報 ​

[General] Automated Security Response on AWS adds AI Toolkit for custom remediations ​

概要 ​

Automated Security Response on AWS（ASR）が4つの新機能を追加しました。AI駆動のRemediation Toolkitによるカスタム修復生成、Inspector/GuardDuty/Macieの所見の自動修復、アカウント／OU／リージョン／タグでの集中設定を行える強化コンソール、そしてEmail/Slack/Jira/ServiceNow対応のマルチチャネル通知が利用可能になりました。

変更内容・新機能の詳細 ​

主な追加点は次の通りです。

  • AI Remediation Toolkit: ガイド付きプロンプトと組み込みの安全ガードレールにより、任意のAIアシスタントを用いてカスタム修復（実行可能な修復手順やIaCスニペット）を自動生成します。これにより、SSM Automationやランブックの深い専門知識に頼らず、修復開発時間を数週間から数時間に短縮できます。生成物には安全性チェックが組み込まれ、誤構成のリスクを低減します。

  • サービス所見の自動修復: Amazon Inspector、Amazon GuardDuty、Amazon Macie の所見に対して自動修復を実行可能になりました。ASRは所見を検知して対応する修復アクション（例：資格情報無効化、脆弱性の一時対応、機密データ露出の封じ込めなど）をトリガーできます。

  • 強化された集中管理コンソール: アカウント、組織単位（OU）、リージョン、リソースタグ単位で自動修復のスコーピングおよびポリシーを一元管理できます。100以上のセキュリティコントロールをコンソール上で管理・検証でき、従来の手動DynamoDB/SSM設定のエラー源を排除します。

  • マルチチャネル通知と期限管理: Security Hub 所見の通知アダプタがEmail、Slack、Jira、ServiceNowに対応。重大度ベースのフィルタリング、修復リンク（該当プレイブックやIaCスニペットへの誘導）、期限設定と期限強制のオプションにより、対応の可視化と責任追跡が強化されます。

影響範囲・利用シーン ​

  • 対象ユーザー: SecOps/SRE、クラウドセキュリティエンジニア、脆弱性対応チーム、開発チーム
  • 利用シーン: セキュリティ所見の自動修復ワークフロー化（資格情報漏洩対応、未パッチ脆弱性の緩和、機密データ露出の封じ込め）
  • 運用効果: 修復プレイブック作成時間の短縮、人的ミスの低減、対応速度向上と責任追跡の明確化
  • チーム連携効果: Slack/Jira/ServiceNow連携でSRE/開発/セキュリティが同一情報を参照でき、対応漏れや認識齟齬を減らす
  • ガバナンス効果: アカウント/OU/リージョン/タグ単位の一括適用でポリシー準拠を強制しやすくなる

技術的な注意点 ​

  • 前提サービス: Security Hubが中心となるため、Security Hubおよび該当する検出サービス（Amazon Inspector, Amazon GuardDuty, Amazon Macie）を有効化している必要があります
  • IAM権限: ASRの設定・実行にはSecurity Hub、SSM、Lambda、Organizations、CloudWatch Events/EventBridge等への適切なIAM権限が必要です。通知連携にはSlack/Jira/ServiceNow等へのAPI連携設定権限も必要です
  • リージョン制限: 記事では地域別の対応状況は明記されていません。利用前に対象リージョンでの提供状況を確認してください
  • コスト: ASR自体の利用料金に加え、トリガーや実行に伴うSSM Automation、Lambda、EventBridge、Security Hub、GuardDuty/Inspector/Macieなど各サービスの料金が発生する可能性があります。通知チャネルや長時間実行される自動化は追加コスト要因になります
  • 安全性・データ取扱い: AI Toolkitを使う際は生成されたコードやプロンプトに機密情報が含まれないように注意してください。AIアシスタントとのデータ共有ポリシーを確認し、必要に応じてオンプレミスやVPCエンドポイント経由の構成で保護してください
  • 検証: 本番で自動修復を有効化する前に、ステージング環境で生成された修復手順をレビュー・テストしてください。自動修復は誤動作時にサービス障害を引き起こす可能性があります
  • 通知設定: Slack/Jira/ServiceNow等の統合は事前にコネクタ設定と認証情報の準備が必要です。期限強制や自動エスカレーションはワークフロー要件に沿って設計してください
  • 監査・ロギング: 修復実行のトレース用にCloudTrailやSecurity Hubの履歴、実行ログを有効にし、変更管理・監査証跡を保持してください

参考情報 ​

AI要約はOpenAI APIによって生成されています。

Copyright © 2026