2026年10月5日の週には、プラットフォームチームが注目すべき2つの流れがあった。AWS TransformはホストにMicrosoft Hyper-Vの環境を何もインストールせずに棚卸しできるようになり、一連の小さめのローンチが、IDと証明書の制御を、これまで自分が載っているネットワークを信頼していた層へ押し下げた。 LambdaのKafkaイベントソースマッピングはOAuthを受け付け、IAM Identity CenterのディレクトリはVPCエンドポイントを迂回するリクエストを拒否でき、パブリックなACME発行はPrivateLink越しに走り、GuardDutyはログインだけでなくPostgreSQLのクエリを読む。どれも見出しにはならない。まとめると、それがこの週だ。

移行デスク: Hyper-Vがエージェントレスの検出を得る

10月7日、AWSはDiscover and migrate Microsoft Hyper-V workloads with AWS Transformを発表として公開した。Transformの検出ツールは各Hyper-Vホストをソースとして登録し、WinRM経由で接続し、すべてのVMのvCPU、メモリ、ディスク、ネットワークアダプター、電源状態、フェイルオーバークラスターのメンバーシップを読み取る。収集は1時間ごとに繰り返され、クラスター化されたVMは重複排除され、System Center Virtual Machine Managerは不要だ。ツールはVHDアプライアンスとして出荷され、vCenterとCSVでインポートしたベアメタルからも収集するので、混在環境でも1つのインベントリになる。ゲストの資格情報を与えると、10分間隔のパフォーマンスサンプル、依存関係マッピングのためのネットワーク接続、SQL ServerとOracleの詳細が加わり、いつもの連鎖に流れ込む。測定された利用率に基づくEC2サイジング付きのTCOケース、ウェーブ計画、ランディングゾーンだ。

移動そのものは依然としてゲストOS層のAWS Transform MGNであり、つまりすべてのソースサーバーにレプリケーションエージェントが要る。検出はエージェントレスだが、移行はそうではなく、エージェント展開の変更承認こそがカレンダーの時間を食う部分だ。

同じ週に2本の関連記事が着地した。When to use what: A guide to AWS Transform interfaces(10月9日)は、コンソール、Kiroとその他のAI IDE、パイプライン向けの非対話-x -tフラグを持つatx CLI、そしてMCPサーバーを示す初めての明快な地図だ。入口を選ぶ前に読むこと。CLIがカバーするのはカスタム変換だけだ。そしてRun least-privilege AWS DMS CDC migration from SQL Server(10月6日)は、あらゆるDMSプロジェクトが最初に持つべきだった権限の解説だ。

OAuthがLambdaのKafkaコンシューマーに届く

10月9日、AWS LambdaがセルフマネージドApache Kafkaのイベントソースマッピングに OAuth認証を追加した。これまでKafka ESMが認証に使えたのはSASL/PLAIN、SASL/SCRAM、mTLSだけだった。クラスターがOAuth専用のIdP(Okta、Cognito)に固定されているチームはESMをまったく使えず、自前のコンシューマーフリートを運用して、ESMが無料でくれるスケーリング、バッチ処理、フィルタリング、エラー処理を失っていた。セルフホストのクラスターに加え、Confluent Cloud、Aiven、Redpandaで動く。

トレードオフは、コンシューマーのIDがいまや寿命を持つトークンになることだ。IdPの障害は、誰かが見ているログインエラーではなく、停止したイベントソースマッピングとして現れる。認証方式を切り替える前に、後ではなく、ESMのOffsetLagメトリクスにアラームを置くこと。

IDと証明書のプレーンがプライベートになる

10月5日と6日の3つのローンチは1つの形を共有している。IAM Identity CenterがIdentity Storeのネットワークアクセス制御に対応した。Identity Store APIの呼び出しが自分のアカウントや組織内の許可されたVPCエンドポイント経由でのみ到着することを要求でき、外部IdPがユーザーとグループの同期に使うSCIM APIも制限できる。あなたのワークフォースが誰なのかを定義するディレクトリが、指定した場所からしか届かなくなる。

ACMがAWS PrivateLink経由のACME発行に対応した。ACM ACMEサービスへのVPCインターフェースエンドポイントを作ると、プライベートDNSが既存のACMEディレクトリURLをそこへ解決するので、どのACMEv2クライアントもインターネット経路なし、クライアント変更なしでパブリック証明書を更新できる。証明書更新のためだけにNATルートを保持しているプライベートサブネットのホストにとって、それはegress例外がまるごと1つ消えることだ。

AWS Private CAが詳細な証明書発行ログを出すようになった。CloudTrailのサービスイベントIssueCertificateDetailsで、すべての発行について、署名前に失敗したものも含めて、証明書の全内容、発行CA、リクエスターのID、署名ステータスが記録される。従来の管理イベントが与えてくれたのはARNだった。アルゴリズム移行を追跡しているか、スプレッドシートではない証明書インベントリが必要なら、これが欠けていた信頼できる情報源だ。

これらは1つの変更セットとして扱うこと。Identity StoreとSCIMをVPCエンドポイントの背後に、ACMEをPrivateLink越しに、発行ログを監査アカウントへ。計画すべき障害モードはbreak-glassの経路だ。エンドポイントポリシーが間違っていると、SCIM同期は静かに止まり、エラーは2日後に無関係なアプリケーションで「user not found」として現れる。

GuardDutyがログインだけでなくクエリを読む

10月8日、GuardDuty RDS Protectionがデータの持ち出しと破壊の検出へ拡張された。対象はAurora PostgreSQLとRDS for PostgreSQLだ。これまではログインの異常を見ていた。今はデータアクティビティのベースラインを取り、異常検知と脅威インテリジェンスで異常なアクセスにフラグを立てる。エージェントもデータベース変更も不要。埋めている隙間は、あらゆるインシデント後レポートが言及するものだ。攻撃者が有効な資格情報を握ってしまえば、そのクエリはアプリケーションのものとまったく同じに見える。ログイン監視には何も見えない。クエリの形の監視には、少なくとも見込みがある。

今週のその他

通底するテーマ

長年のパターンはこうだった。エッジでユーザーを認証し、その背後のネットワークは信頼する。今週AWSはチェックを内側へ動かし続けた。ディレクトリAPIは、どのVPCエンドポイントを通って来たのかを知りたがる。証明書の更新はVPCを一度も離れない。KafkaコンシューマーはIdPのトークンを携える。データベースの脅威モデルは資格情報がすでに盗まれていると仮定し、クエリが何をするかを見る。移行側では、Transformはエージェントを植え付けるのではなくWinRM越しにHyper-Vホストを読む。去ろうとしている環境にも同じ本能が適用されている。「ネットワークの内側にある」が答えとして通用する場所の数が、また減った。

次に読む

同じ週のモデルとエージェント側の読み解きは、ercan.aiのAIフィールドノートにある。AWS、クラウド、CI/CDパイプライン、Linux、GitHub/GitLabなどのコンサルティングを含むハブはercanermis.comだ。

参考資料