7月27日の週、AWS Transformは「移行はvSphereから始まる」という前提を捨てた。7月29日の変更ログのエントリはワークフローを「Migrations (including VMware)」に改名し、ディスカバリー、ウェーブ計画、ランディングゾーン、ネットワーク移行、サーバーのリホストをHyper-V、ベアメタル、その他のプラットフォームに開放した。同じ週、AWS Interconnect to Oracle Cloud InfrastructureがGAになり、Transit Gatewayのポリシーベースルーティングが送信元、ポート、プロトコルで転送先を決められるようになり、IAM Identity Centerがマルチリージョンレプリケーションを組み込みディレクトリにまで広げ、CloudWatchがPrometheusコレクターをユーザーの代わりに運用し始めた。

移行向けAWS Transform: ハイパーバイザーはもう問題にならない

サーバー移行のドキュメントは、今やはっきりこう書いている。オンプレミスのデータセンター、他のクラウドプロバイダー、他のAWSリージョンから、物理でも仮想でも、VMware、Hyper-V、KVM、その他何の上でも移行でき、ゲストOSがAWS Transform MGNのサポートリストに載っている限りハイパーバイザーは無関係だ。レプリケーションエンジンはずっとMGNであり、MGNはもともとソースを気にしなかった。変わったのは、その周りのエージェント型ワークフロー、つまりディスカバリー、7Rの推奨、ウェーブ計画、ネットワーク変換が、それらのソースも受け付けるようになった点だ。同じエントリはリホストにポスト起動アクションを追加した。定義済みまたはカスタムのSSMドキュメントで、エージェントが推奨し、各サーバーがテストまたはカットオーバーのインスタンスとして起動するたびに実行する。アカウントレベルで、あるいはインベントリファイル内でサーバーごとにmgn:launch:post-actions:<ACTION_NAME>:<FIELD_NAME>として定義する。

Hyper-Vやベアメタルの資産をAWS向けに見積もっている人にとって、これはツールが営業トークに追いついた週だ。注意点は2つ。第一に、この変更はドキュメントのエントリであってWhat's Newの投稿ではないので、引用できるリージョン一覧も価格の記述もない。計画を組む前に自分のワークスペースのリージョンで確認すること。第二に、エージェントレスのレプリケーションは依然として未サポートなので、すべてのソースサーバーにエージェントが必要であり、ベアメタルにはログインできない箱をごまかしてくれるvCenterの経路がない。資格情報はMGNコネクタがタイムアウトしたときではなく、インベントリ検証の時点でサーバーごとに確認すること。ポスト起動アクションは地味だが大きな収穫だ。「CloudWatchエージェントを入れ、ドメインに参加させ、コンプライアンススキャンを走らせる」というランブックだったチェックリストがウェーブの一部になり、mustSucceedForCutoverでそれをゲートにできる。

Interconnect to OCIと、宛先以外も読むルーティング

AWS Interconnect - multicloudは7月29日にOracle Cloud Infrastructure向けにGAとなり、コンソール、CLI、APIからプロビジョニングできる。GA時点でGoogle Cloudもサポートされ、Microsoft Azureは2026年後半の予定だ。OCIは自側をAWSがGitHubで公開したオープン仕様の上に構築した。OCI向けの提供はus-east-1で、発表には帯域幅のティアも価格もないので、次に見るべきはドキュメントだ。

比較対象はチームが今日やっていることだ。コロケーション施設へのDirect Connect、相手プロバイダーへのクロスコネクト、2本のBGPセッション、そして壊れたときに誰へ電話するかを書いたwikiページ。Interconnectはそれをマネージドなオブジェクトで置き換え、リスクをひとつの製品、ローンチ時点ではひとつのリージョンに集中させる。Oracleのライセンス事情が生み出し続ける「データベースはOCI、アプリケーションはAWS」というパターンが明らかな顧客だ。それ以外は、リージョン一覧が増えるのを待つこと。

Transit Gatewayのポリシーベースルーティングは7月30日に追加料金なしでGAとなった。ハブアンドスポークのネットワークに「この送信元のこのポートはファイアウォールを通し、それ以外は直接送る」と言わせられるようにする部品だ。アタッチメントにポリシーテーブルを付け、送信元と宛先のIP、ポート、プロトコルで一致させる順序付きのルールセットを書くと、各ルールは一致したパケットを名前付きのルートテーブルへ送る。先に一致したものが勝つ。障害モードはPBRが昔から抱えてきたものだ。ポリシーテーブルはルーティングが決まる第二の場所であり、「ルートテーブルで宛先を調べる」というメンタルモデルでは足りなくなる。ルールはルートテーブルの隣に文書化し、ルートテーブルで表現できるものにPBRを使いたくなる衝動には抗うこと。

Direct Connectは同じ日にBGPルートの可視性を得た。プライベート、トランジット、パブリックの各VIFで受け入れた経路と広告した経路を、プレフィックス、ASパス、コミュニティ、アドレスファミリーとともに、コンソールまたはListVirtualInterfaceRoutesで確認できる。非対称経路のデバッグでネットワークチームに向こう側でshow ip bgpを打ってもらった経験があるなら、これが何を意味するかは分かるはずだ。

Identity Centerが自身のディレクトリをレプリケートする

IAM Identity Centerのマルチリージョン対応は、これまで外部IDプロバイダーを必要とした。7月29日から、組み込みのIdentity Centerディレクトリを使う組織インスタンスは、IDとエンタイトルメントをプライマリリージョンから選んだ追加リージョンへ、デフォルトで有効な17の商用リージョンの範囲でレプリケートできる。プライマリリージョンが障害を起こしても、ユーザーは別の場所にすでにプロビジョニングされたエンタイトルメントを通じてアカウントへのアクセスを保てる。管理はプライマリリージョンに残り、インスタンスはマルチリージョンのカスタマーマネージドKMSキーを使う必要があり、コストはKMSの分だけだ。

Identity Centerは、その障害があらゆる人間の修復作業を止めるコンポーネントであり、外部IdPなしではローンチ以来シングルリージョンの依存先だった。落とし穴は前提条件にある。レプリケーションを有効にする前にマルチリージョンCMKが存在していなければならず、デフォルトのAWS所有キーで作られたインスタンスはまずキーの変更が必要だ。それはロールバック付きの独立した変更として計画すること。

CloudWatchがPrometheusコレクターを運用する

CloudWatchマネージドコレクターは7月31日にGAとなり、EKS(Kubernetesサービスディスカバリー)、ECS(Cloud Map DNS)、EC2(直接)、MSKとOpenSearch Service(オープンモニタリングエンドポイント)からPrometheusメトリクスを、自分で運用するOpenTelemetry Collectorなしでスクレイプする。スクレイプ設定と接続を渡せば、CloudWatchがコレクターをプロビジョニングしてスケールし、メトリクスをOpenTelemetry形式で配信し、ベンダー提供メトリクスと並べてPromQLで問い合わせさせてくれる。コレクターは標準のOpenTelemetryメトリクス取り込み料金に加えて時間単位で課金され、CloudWatch OTLPエンドポイントがあるところならアジアパシフィック(ニュージーランド)を除いてどこでも使える。

自前のコレクターは、オブザーバビリティスタックの中でメトリクスが必要なときにいちばん落ちていそうな部品だった。たいていはそのノード自体が問題を抱えていたからだ。クラスターの外に出すのは正しい。問題はカーディナリティに対するコストだ。時間単位の料金は予測できるが取り込みは予測できず、何でも保持していたPrometheusサーバーから持ってきたスクレイプ設定は何でも取り込む。metric_relabel_configsのdropルールは残し、2つ目のクラスターを追加する前に最初の請求書の取り込みの行を読むこと。

今週のその他

通底するテーマ

今週のすべての見出しは、AWSがかつて制約していた入力を広げている。Transformはどのハイパーバイザーでも受け取る。Interconnectは別のクラウドを受け取る。Transit Gatewayは宛先の代わりに5タプルの一致を受け取る。Identity Centerは自身のディレクトリをより多くのリージョンへ持ち込む。マネージドコレクターはすでに手元にあるスクレイプ設定を受け取る。代価は毎回同じ通貨で支払われる。入力が増えれば設定が間違いうる場所も増え、そのうちルートテーブルで見えるものは減る。BGP可視性のローンチがその証左だ。AWSはTransit Gatewayにポリシールーティングを追加したのと同じ日にDirect Connectへオブザーバビリティを追加した。ポリシールーティングがデバッグに何をするか知っているからだ。

次に読む

同じ週のAIとエージェント側の読み解きは、ercan.aiのフィールドノートにある。AWS、クラウド、CI/CDパイプライン、Linux、GitHub/GitLabなどのコンサルティングは、ercanermis.comからどうぞ。

参考資料