9月21日の週、AWSは2つの基本要素をアカウントではなく組織を軸に描き直した。CloudWatch OmniはコンソールアクセスなしにSSOで到達できるチーム単位の可観測性体験であり、再始動したEventBridgeカスタムバスは、順序保証、保持、そして誰もがすでに運用しているハブ&スポーク構成向けの価格モデルを備えた、RAMで共有される単一のブローカーだ。マルチリージョン強整合性を持つDynamoDBグローバルテーブルは15リージョンと大陸横断構成に到達し、Elastic Disaster RecoveryはGravitonソースサーバーを追加し、Security HubはAzure VM上のセルフホストAIの棚卸しを始めた。

CloudWatch Omni: アカウントではなくチームで整理されるテレメトリ

9月23日、Amazon CloudWatch Omniが一般提供になった。中央アカウントにスペースを作ると、アカウントとリージョンをまたぎ、さらにAzureワークロードを含む他クラウドをまたいでテレメトリが見える。Omniはサービスを自動発見し、依存関係を地図化し、ゴールデンメトリクスを浮かび上がらせ、AWS DevOps Agentを調査セッションに引き込んでシグナルを相関させる。OpenTelemetryの上に構築されているので、既存のインストルメンテーションは再設定なしでそのまま現れる。組織設計を変えるのは次の部分だ。チーム全体向けのSSOを備えた独立したWeb体験であり、AWSコンソールへのアクセスは不要で、加えてIDE拡張とAgent Toolkitからのアクセスもある。

これはDatadogとGrafanaが10年売ってきたものをAWSが作ったという話だ。1つのURL、1つのログイン、すべてのアカウント、そしてベンダーのAIが最初の一巡をこなす。違いはテレメトリがCloudWatchの外に決して出ないことで、規制の厳しい多くの現場ではそれだけで判断が決まる。

トレードオフはIDに関するものだ。「コンソールアクセス不要」とは、Omniの認可がロググループに対するIAMポリシーではなく、スペースへのSSOマッピングだということを意味する。自分のサービスのトレースだけを見るべき開発者にとってはそれが正しいモデルだが、すでに監査している仕組みの隣に2つ目のアクセス制御システムが並ぶことになる。どのスペースが本番テレメトリを持つのか、誰がそこにマッピングされるのか、そのマッピングをどうレビューするのかを、最初のチームがセルフサービスでスペースを作る前に決めておくこと。そしてAzure資産を向ける前に、クロスアカウントとクロスクラウドの取り込み経路の料金を確認しておくこと。

EventBridgeがエンタープライズ向けにカスタムバスを再始動

9月24日、EventBridgeがカスタムイベントバスを再始動した。強化版バスはAWS RAMを通じて組織内のすべてのアカウントと共有できるので、パブリッシャーは中央バスに直接書き込める。新しい発行APIはスキーマを書き換えずにCloudEventsのようなオープンフォーマットを受け付ける。バスはデフォルトで24時間、最長1年までイベントを保持するので、バグの後に再生したり、履歴から新しいコンシューマーを初期化したりできる。新しいSubscriberリソースはフィルタリング、ターゲット、リトライを束ねる。内容ベースの重複排除、求めた箇所での厳密な順序保証、Lambdaのようなターゲットへの同期呼び出しもある。既存のバスは「classic」としてそのまま動き続ける。News Blogの記事は、マルチバス構成で積み上がっていたクロスアカウントルーティング課金をイングレス/エグレス課金モデルが置き換えると補足している。

これが置き換えるパターンは、アカウントごとに1つのバス、中央バスへ転送して再び戻す転送ルール、そしてホップごとの課金だ。Subscriberを持つ共有バス1つのほうが単純で、大半のトポロジーでは安い。保持と順序保証の機能は、これまでチームにEventBridgeの前へKinesisやKafkaを置くことを強いていたものであり、その接着剤の多くはもう要らなくなる。

ハブを一晩で移行してはいけない。まずイングレス/エグレス費用を現在のルール単位課金に対してモデル化すること。「大半で安い」は「すべてで安い」ではない。次にプロデューサー1つとSubscriber1つを移し、classicバスの転送を並行で残したまま、1週間配信件数を比較する。順序保証はオプトインでスループットに影響するはずなので、グローバルではなく、コンシューマーが本当に必要とするサブスクリプション単位で有効にすること。

大陸をまたぐDynamoDBの強整合性

9月23日、マルチリージョン強整合性を持つDynamoDBグローバルテーブルが5リージョンを追加し(Canada Central、Stockholm、Spain、Mumbai、Singapore)合計15リージョンになった。その中の任意の3リージョン構成が許可され、北米、ヨーロッパ、アジアパシフィックをまたぐ構成も含まれる。3つのレプリカ、またはレプリカ2つとウィットネスリージョン1つを選ぶと、リカバリポイント目標はゼロになる。

大陸をまたぐRPOゼロは本物の能力であり、同時に物理でもある。フランクフルト、バージニア、シンガポールをまたぐ強整合性の書き込みは、確認応答の前に毎回大陸間の往復を支払う。大陸横断オプションは、それに値するデータ(権利情報、注文状態、在庫、古い読み取りが正しさのバグになるもの)のためのものであり、その隣にあるセッションテーブルのためのものではない。MRSCテーブルは小さく、意図的に保つこと。それ以外はローカルの書き込みレイテンシを持つ結果整合のグローバルテーブルに置いたままにする。

移行とセキュリティのコーナー

9月25日、AWS Elastic Disaster RecoveryがGravitonベース(arm64)のソースサーバーを追加した。DRSはarm64を検出してGravitonインスタンス上に復旧する。追加設定なし、追加費用なしだ。「DR計画がある」ことが監査要件になっている環境でGraviton採用を阻んでいたギャップがこれで埋まる。今週唯一の移行ツール関連ニュースで、AWS TransformやDMSからは何も出ていない。

9月22日、Security Hub AI InventoryがセルフホストのAzure VM上のAI資産の発見を始めた。InspectorのSBOM分析を使って推論エンドポイント、モデル、エージェント(Ollama、vLLM、Hugging Face TGIなど)を見つけ、検出結果と相関させる。Security Hub Essentialsに含まれる。Azure資産を畳みながらセキュリティ態勢をAWSに集約しているなら、これは本来手作業でやることになる棚卸しのステップだ。

そして9月25日、IAMアウトバウンドIDフェデレーションのOIDCディスカバリーとJWKSエンドポイントにインターフェイスVPCエンドポイントが加わった。インターネット経路のないVPC内の検証側ワークロードが、STS発行のJWTを検証する鍵をプライベートに取得できるようになった。長寿命キーを無くすためにアウトバウンドフェデレーションを採用したなら、一部のプライベートサブネットで採用できなかった最後の理由がこれで消える。

今週のその他

通底するテーマ

Omni、EventBridgeの再始動、Network Security Manager、請求コンテキストAPIはいずれも、運用の単位がコンソールを持つ単一アカウントではなく、中央アカウントを持つAWS Organizationであることを前提にしている。その追いつきの代価として、それぞれが独自のアクセスモデルを持つ組織レベルのコントロールプレーン(スペース、共有バス、セキュリティポリシー)を持ち込み、それらのアクセスモデルの一貫性を保つことがプラットフォームチームの仕事になる。DRSとOIDCエンドポイントの変更は同じ話の静かな版だ。現実の資産が置かれている構成、つまりarm64フリートやインターネットのないVPCに機能がようやく届き、例外リストが短くなる。

次に読む

同じ週のAIとエージェント側の読み解きは、ercan.aiにある。AWS、クラウドアーキテクチャ、CI/CDパイプライン、Linux、GitHubやGitLab、その周辺のプラットフォーム作業で実務的な支援が必要なら、コンサルティングはercanermis.comからどうぞ。

参考資料