直近の AWS アップデート情報まとめ（2026年6月）

はじめに

今回は、直近で発表された7件のAWSアップデートを紹介します。IoT開発者向けの新SDK、EC2のガバナンス強化機能、EMR Serverlessの運用性改善、高メモリインスタンスの新リージョン対応、Neptuneのグローバルデータベース管理強化、GuardDutyのAI調査機能プレビュー、CloudWatchダッシュボードへのタグ機能追加と、幅広い分野にわたるアップデートが含まれています。特に注目すべきは、セキュリティガバナンスを強化するEC2 AMI Watermarksと、脅威対応を加速するGuardDuty AI調査機能です。これらはいずれも、大規模なAWS環境の運用効率とセキュリティを大きく向上させるポテンシャルを持っています。

注目アップデート深掘り

Amazon EC2 AMI Watermarks によるガバナンス強化

EC2に導入されたAMI Watermarksは、プライベートAMIにカスタム識別子を埋め込むことができる機能で、組織全体でのAMIガバナンスを抜本的に改善します。この機能が重要な理由は、従来のAMI管理における「来歴の追跡困難性」という根本的な課題に対処するためです。

なぜこのアップデートが重要なのか

大規模なAWS環境では、AMIがリージョン間でコピーされたり、実行中のインスタンスから新たなAMIが作成されたりすることで、オリジナルのAMIがどこから来たのか、誰が承認したものなのかを追跡することが困難になります。セキュリティパッチが適用されていないAMI、非準拠な設定を含むAMI、出所不明なAMIからインスタンスが起動されると、セキュリティインシデントやコンプライアンス違反につながる可能性があります。

AMI Watermarksは、この問題を解決するために、AMIに永続的な識別情報を埋め込みます。ウォーターマークには以下の情報が含まれます：

• AMI ID
• オーナーID
• 作成されたリージョン
• 作成タイムスタンプ

重要な点は、ウォーターマークが派生AMIに自動継承されることです。リージョン間でコピーしても、実行中のインスタンスから新しいAMIを作成しても、他のアカウントとAMIを共有しても、ウォーターマークは保持されます。これにより、何世代にもわたる派生AMIでも、元の承認済みAMIまで遡ることが可能になります。

Allowed AMIsとの組み合わせによるポリシー強制

AMI Watermarksの真価は、Allowed AMIs機能と組み合わせたときに発揮されます。Allowed AMIsは、特定の条件を満たすAMIからのみEC2インスタンスの起動を許可するガバナンス機能です。ウォーターマークをこのポリシー条件に含めることで、「承認されたウォーターマークを持つAMIからのみインスタンス起動を許可する」という制限を実装できます。

たとえば、セキュリティチームが承認したベースAMIにウォーターマークを付与し、組織全体のポリシーで「このウォーターマークを持つAMI、またはその派生AMIからのみインスタンス起動を許可する」と設定すれば、非承認AMIからのインスタンス起動を技術的に防止できます。

さらに、Declarative Policiesを活用すると、AWS Organizations全体でこのようなポリシーを一括適用できます。複数のアカウントやOUにまたがる大規模環境でも、統一的なAMIガバナンスを実現できるのです。

実装方法

AMI Watermarksは、以下の方法で設定できます：

• AWS Management Console：AMI作成時にウォーターマークを追加するUIが提供されています
• AWS CLI / SDK：プログラマティックにウォーターマークを管理できます
• EC2 Image Builder：イメージビルドパイプラインの一部としてウォーターマークを自動付与できます

Note: リリースノートには具体的なCLIコマンドのパラメータ名は記載されていませんが、Management Console、CLI、SDKでの操作が可能であることが明示されています。詳細な実装方法については、公式ドキュメントを参照してください。

ビフォーアフター

従来の課題：

• AMIの来歴が不明確で、承認済みAMIかどうかの判断が困難
• リージョン間コピーや派生AMI作成で追跡情報が失われる
• 非承認AMIからのインスタンス起動を技術的に防止できない
• AMI管理を手作業に依存し、ヒューマンエラーが発生しやすい

改善後：

• ウォーターマークにより永続的な来歴追跡が可能
• 派生AMIでもオリジナルまで自動的に遡れる
• Allowed AMIsで非承認AMIからの起動を組織レベルで防止
• 追加コストなしで全リージョン（中国、GovCloud含む）で利用可能

この機能により、コンプライアンス要件が厳しい金融機関や医療機関、大規模なマルチアカウント環境を運用する企業にとって、AMI管理の信頼性と監査可能性が大幅に向上します。

Amazon GuardDuty AI調査機能によるセキュリティ運用の効率化

GuardDutyに追加されたAI調査機能（プレビュー）は、セキュリティ運用における最大の課題の一つである「アラート疲れ」に対処します。この機能は、GuardDutyの検出結果を自動的に分析し、本当の脅威と無害な検出結果を数分で区別します。

なぜこのアップデートが重要なのか

セキュリティ運用センター（SOC）やクラウドセキュリティアナリストは、日々大量のアラートに直面しています。GuardDutyは脅威検出において優れた感度を持つ一方で、誤検知や優先度の低いアラートも含まれるため、すべてのアラートを手作業で調査することは現実的ではありません。結果として、重要な脅威を見逃すリスクや、アナリストの疲弊が問題となっていました。

AI調査機能は、この課題を以下の方法で解決します：

自動調査のプロセス

1. 過去90日間のコンテキスト分析：検出されたイベントの背景を、過去のアクティビティと照らし合わせて分析します
2. ナレッジグラフの活用：関連するリソース、アクティビティ、アクターの関係性をグラフ構造で把握します
3. 脅威インテリジェンスの統合：外部の脅威情報と照合し、既知の脅威パターンと一致するかを確認します
4. 影響範囲の特定：影響を受けたリソースとその重要性を評価します

提供される情報

各AI調査の結果には、以下が含まれます：

• 信頼度スコア付き判定結果：この検出結果が本当の脅威である可能性をスコアで示します
• MITRE ATT&CK技術分類：検出された攻撃手法を業界標準のフレームワークで分類します
• 根拠となる証拠：判定の理由を裏付ける具体的なログやアクティビティ
• アクショナブルな推奨事項：抑制、封じ込め、修復のための具体的なアクション

従来の手作業調査との比較

従来の手作業調査：

• 1件のアラート調査に30分～数時間かかることも
• アナリストのスキルレベルによって調査品質にばらつき
• 過去のコンテキストや関連アクティビティの収集が手作業
• 深夜や休日のアラート対応が遅延

AI調査機能：

• 数分で自動的に調査結果を生成
• 標準化された調査プロセスで一貫した品質
• 過去90日間のコンテキストを自動収集・分析
• 24時間365日、即座に信頼度の高い判定を提供

適用範囲と展開

この機能は、個別のAWSアカウントだけでなく、AWS Organizations全体でも有効化できます。大規模な組織では、複数のアカウントにまたがる脅威調査を統一的に自動化できるため、運用効率が飛躍的に向上します。

プレビュー期間中は10のAWSリージョンで利用可能で、順次拡大される予定です。

SRE/セキュリティ運用への影響

この機能により、セキュリティアナリストは「全てのアラートを調査する」モデルから「AIが高信頼度と判定した脅威に集中する」モデルへシフトできます。平均対応時間（MTTR: Mean Time To Respond）の短縮だけでなく、アナリストの疲弊軽減、新人アナリストの教育効率化、夜間・休日対応の負荷軽減など、多面的な効果が期待できます。

SRE視点での活用ポイント

AMI Watermarksの運用組み込み

EC2 Image BuilderとCI/CDパイプラインを統合している環境では、イメージビルド時にウォーターマークを自動付与するフローを構築できます。たとえば、セキュリティスキャン、脆弱性診断、コンプライアンスチェックをパスしたAMIにのみ「approved」ウォーターマークを付与し、そのウォーターマークを持つAMIからのみインスタンス起動を許可するポリシーを設定すれば、承認プロセスの自動化と強制が同時に実現します。

Terraformなどで大量のEC2インスタンスを管理している場合、AMIの指定方法を「承認済みウォーターマーク付きAMIのみ」にフィルタリングすることで、誤って非承認AMIを指定するリスクを排除できます。AWS Config Rulesと組み合わせれば、既存インスタンスが承認済みAMIから起動されているかを継続的に監視し、非準拠インスタンスを自動検出することも可能です。

導入時の注意点として、既存のAMI運用フローを棚卸しし、どのAMIにどのウォーターマークを付与するか、組織的な命名規則とポリシー設計が必要です。また、Allowed AMIsによるインスタンス起動制限は、開発環境やテスト環境では柔軟性を損なう可能性があるため、環境ごとにポリシーの適用範囲を調整する判断が求められます。

GuardDuty AI調査機能の活用シナリオ

GuardDutyのアラートをSlackやPagerDutyに統合しているSREチームでは、AI調査結果の信頼度スコアを判定基準に組み込むことで、通知の優先度付けを自動化できます。たとえば、信頼度95%以上のアラートは即座にオンコールエンジニアに通知し、80%未満は翌営業日のレビュー対象とするなど、段階的なエスカレーションフローを構築すれば、夜間の不要な呼び出しを減らしつつ、重要な脅威への対応速度を向上できます。

MITRE ATT&CK技術分類が付与されるため、ランブック（対応手順書）の自動選択も可能になります。たとえば「初期アクセス（Initial Access）」に分類された脅威には認証情報のローテーションを、「権限昇格（Privilege Escalation）」には該当IAMロールの一時停止を、といった対応アクションをマッピングしておけば、AI調査結果をトリガーに自動修復（Auto-Remediation）フローを起動することも検討できます。

導入時のリスクとして、AIの判定精度はプレビュー期間中に変動する可能性があるため、本番環境での完全自動化よりも、まずは「アナリストの意思決定支援ツール」として段階的に信頼性を検証する慎重なアプローチが推奨されます。誤検知の見逃しリスクを評価するため、初期は人間による最終判断を残しつつ、信頼度スコアと実際の脅威の相関をモニタリングし、統計的な精度評価を蓄積することが重要です。

その他のアップデートの活用ポイント

EMR Serverlessのライブ設定更新機能は、スケーリングポリシーの動的調整が必要なデータ分析基盤で有用です。ピーク時間帯の数時間前に最大キャパシティを引き上げ、処理完了後に自動的に引き下げるスケジュール調整を、ジョブ実行中でも安全に適用できるため、コスト効率と可用性の両立が容易になります。

CloudWatchダッシュボードのタグ機能は、属性ベースアクセス制御（ABAC）を実装しているチームにとって、ダッシュボードレベルでの権限管理を簡素化します。environment:productionタグを持つダッシュボードへのアクセスを特定のIAMロールに制限し、environment:developmentは開発者全員に開放するなど、タグベースのIAMポリシーで細かいアクセス制御を統一的に管理できます。

NeptuneのグローバルデータベースがCloudFormation対応したことで、マルチリージョンのグラフデータベーストポロジーをInfrastructure as Codeで管理できるようになりました。DRリージョンへのフェイルオーバー構成をテンプレート化し、定期的に検証環境で再現テストを実施するといった、災害復旧訓練の自動化が現実的になります。

全アップデート一覧

まとめ

今回紹介したアップデートは、AWS環境のガバナンス強化、運用効率化、セキュリティ自動化という3つの軸で構成されています。特にEC2 AMI Watermarksは、これまで曖昧だったAMI管理に永続的な追跡可能性をもたらし、組織全体でのコンプライアンス遵守を技術的に強制できる画期的な機能です。GuardDutyのAI調査機能は、セキュリティ運用における人的リソースの制約を緩和し、より戦略的な脅威対応にチームを集中させることを可能にします。

EMR ServerlessやCloudWatchダッシュボードタグのような運用性改善機能は、一見地味ですが、日々の運用負荷を着実に軽減します。NeptuneのCloudFormation対応は、グラフデータベースのマルチリージョン展開をコード化し、再現性と監査可能性を向上させます。U7in-24TBインスタンスのソウルリージョン対応は、アジアパシフィック地域での大規模インメモリワークロードの選択肢を広げます。

これらのアップデートを個別に評価するだけでなく、組み合わせて活用することで、より堅牢で効率的なAWS運用基盤を構築できるでしょう。特にマルチアカウント環境やグローバル展開を行っている組織にとって、今回のアップデートは運用戦略を見直す良い機会となります。

📚 AWSをもっと深く学ぶなら

AWS認定ソリューションアーキテクト - アソシエイト 完全攻略（楽天ブックス）

• AWS公式ドキュメント