Cloud

概要 Cloudflareは2026年8月14日、Workerに対して直接Zero Trust Accessポリシーを設定できる新機能を発表した。これまで開発者はカスタムドメインやworkers.dev、プレビューURLなど、Workerに紐づく複数のエンドポイントごとに個別のアクセス制御を用意する必要があったが、新機能ではポリシーをWorker自体に紐づけることで、そのWorkerに関連するすべてのドメインが自動的に保護対象となる。設定単位はWorker単位とアカウント全体の2種類から選択でき、アカウント全体を選べば既存・新規を問わずすべてのWorkerをデフォルトで非公開にした上で、必要なものだけを例外的に公開する運用が可能になる。 背景と狙い Cloudflareが公式ブログで強調しているのは、AIによる「vibe-coding」で内製アプリケーションが急増している現状への対応だ。開発者が素早く社内ツールをデプロイできるようになった一方で、認証設定を忘れたまま公開状態のWorkerが放置されるケースが課題となっていた。今回の機能は、CISOなど組織のセキュリティ管理者がアカウント全体に対して「デフォルト非公開」のガードレールを一括適用できるようにすることで、開発者個人の設定漏れに依存しない防御を実現する狙いがある。認証対象としてはCloudflareアカウントのメンバーに加え、特定のメールアドレスやメールドメインを指定でき、本番環境のみ、あるいはプレビュー環境も含めて保護するかを選べる。 技術的な詳細 実装面では、Cloudflareの新しいRustベースのプロキシ基盤「FL2」により、リクエストのルーティング処理をWorkerの実行前に行えるようになったことがこの機能を支えている。従来のNGINX/Lua製プロキシ「FL1」ではWorker単位での認証適用が技術的に複雑だったが、FL2への移行によってポリシーの適用点をWorkerの手前に置けるようになった。開発者向けには、Workersランタイム上でctx.access.getIdentity()を呼び出すだけで認証済みユーザーのメールアドレス、名前、所属グループを取得できるAPIが用意され、JWTの手動検証は不要になる。ローカル開発時にはwrangler.jsoncのdevブロックに擬似的な認証ユーザー情報を設定することで、Access連携込みの認証フローをローカル環境でテストできる。詳細なポリシーの調整はZero Trustコンソールから行うほか、Workers APIを用いたプログラマティックな設定にも対応する。またWorkers for Platformsを利用する場合、プラットフォーム上にデプロイされる全Workerをデフォルトで非公開化することも可能で、マルチテナント環境での内部アプリケーション保護にも応用できる。 今後の展望 この機能により、Cloudflare上でWorkerを運用する組織は、個別のドメインやルートごとに認証設定を管理する手間から解放され、Worker単位・アカウント単位でセキュリティポリシーを一元管理できるようになる。特にAI支援によるアプリケーション開発が広がる中で、意図しない情報公開のリスクを組織レベルで抑止できる点は、開発速度とセキュリティ統制の両立を目指す企業にとって実用的な選択肢となりそうだ。

概要 データ・AI基盤大手のDatabricksが5億ドルの追加資金調達を実施し、評価額は190億ドル(半年前の1340億ドルから42%増)に到達した。ラウンドはCoatueが主導し、Blackstone、MGX、T. Rowe Price系列の各社、新規参加のSixth Street Growthなど約20社の投資家が参加した。CEOのAli Ghodsi氏によれば、当初の調達目標は1億ドルにすぎなかったが、6月のカンファレンス開催中にThe Informationが今回の資金調達計画を報じたことをきっかけに投資家の関心が急騰し、「150億ドル分の需要があった」という。既存投資家との関係悪化を避けるため、Ghodsi氏は最終的に調達額を5倍の5億ドルへと引き上げる判断をした。 財務状況と製品の勢い Databricksは年間経常収益(ARR)換算で70億ドルの規模に達し、前年比80%の成長を遂げているほか、キャッシュフローも黒字化している。中核製品であるクラウドデータウェアハウスは15億ドルの経常収益規模(前年比100%成長)を維持しており、依然として拡大が続いている。2025年6月にローンチしたAIエージェント向けデータベース「Lakebase」は、経常収益ベースで早くも1億ドル規模に到達した。また、ビジネス分析向けAIチャットボット「Genie」もGhodsi氏が「非常に人気が高い」と語るなど、AI関連製品群が成長を牽引している。 資金の使途と今後の見通し 今回調達した資金は、大手ハイパースケーラーとの間で結んでいる数十億ドル規模のクラウドインフラ契約の履行、100人規模のAI研究チームの維持・拡大、そしてPostgresデータベースのElectricやサイバーセキュリティ企業Panther社を含む複数の買収案件に充てられる見込みだ。Databricksはこの20カ月間で総額200億ドルを調達しており、今回のラウンドもその延長線上にある。Ghodsi氏は将来的な株式公開(IPO)への関心を示しつつも、当面は非公開企業のままAI分野への投資を優先する方針を明らかにしており、明確なIPO時期は示していない。

概要 AWSは、認可ポリシー言語Cedarを拡張した新しいオープンソース言語「Dogwood」を発表した。Apache 2.0ライセンスで公開され、AgentCore PolicyでのAIエージェント統治に利用できる。最大の特徴は、エージェントが過去に行ったツール呼び出しの履歴を時系列条件として参照できる点だ。Cedarは個々のリクエストを単発で評価する言語であり、同じリクエストは事前の文脈や実行順序に関わらず常に同じ結果を返すステートレスな設計になっている。この性質は形式的な検証を可能にする一方で、一連の行動にまたがる制約を表現できないという限界があった。Dogwoodはこの限界に対応し、「承認を得るまでは行動しない」「累計の支出上限を超えない」「機密データにアクセスした後は外部との通信を禁止する」といった、行動の順序に依存するルールをポリシーとして表現できるようにする。 技術的な詳細 Dogwoodは、Cedar既存のwhen条件に加えてwhen temporalという新しい句を導入する。この時系列ロジックは、イベント履歴から生成されるCedarのコンテキストフィールドに変換される仕組みだ。時系列条件を表現するための演算子として、以下の4つが用意されている。いずれも言語のプリミティブとしてではなく、標準ライブラリのマクロとして実装されている。 formerly: 特定の時間枠内に何かが発生したかどうかを確認する count_within: 特定の時間枠内での発生回数をカウントする count_distinct_within: 特定の時間枠内でのユニークな値の数をカウントする sum_within: 特定の時間枠内での累計値を計算する 発表では、分散システム特有の落とし穴についても指摘されている。レート制限のポリシーが「レスポンスイベント」を参照するか「リクエストイベント」を参照するかによって、並行処理時の挙動が変わってしまうというものだ。たとえば2,000ドルの送金を3件並行して実行した場合、ポリシーがレスポンス（まだ確定していない）を参照していると5,000ドルの上限をすり抜けてしまう一方、リクエストを参照していれば正しく拒否される。エージェントは並行してツール呼び出しを行うことが多いため、この非同期性に起因する脆弱性は実運用上重要な注意点となる。 トレードオフと制約 時系列評価はステートフルなイベント追跡を必要とするため、計算コストが増加する。より本質的な制約として、時系列条件は「Cedarが提供する自動推論による解析ツールをサポートしない」点が挙げられており、これにより形式的検証の機能が失われる。AWSがCedarとは別にDogwoodという新しい言語を用意した理由もここにある。また、AWSは参照実装のインタプリタについて「言語を探索・テストするためのものであり、本番環境での認可処理に使うものではない」と明言している。本番環境での運用には、信頼できるタイムスタンプ、認証済みイベント、永続的なトレースストレージ、機密データの保持ポリシーといった要素が別途必要になる。 MCPとの関係と今後の展望 今回の発表は、AIエージェントのツール呼び出しを識別するHTTPヘッダーを要求するModel Context Protocol（MCP）の2026-07-28仕様と時期を同じくしている。MCPがゲートウェイでのツール呼び出しの可視性を提供するのに対し、Dogwoodはそれらの呼び出しの連なりが何を達成できるかを統治する役割を担う。今後のロードマップとしては、実時刻に基づく時間枠のサポート、必須の結果を保証するライブネス特性、そしてハンドオフやロックを含むマルチエージェントのオーケストレーションポリシーへの対応が予定されている。

概要 不動産サービス大手Cushman & Wakefieldの調査によると、アジア太平洋地域のデータセンター開発パイプラインは2026年上半期に過去最高の26.5GWに達した。この半年間だけで7.1GWが積み増され、内訳は建設中が4.8GW、計画段階が21.7GWとなっている。1.4GWの新規稼働容量が市場に投入されたにもかかわらず、コロケーションの空室率は10.9%から10.3%へと低下しており、AI需要による旺盛な吸収ペースが供給の伸びを上回っている状況がうかがえる。 AI需要による事前リースの拡大 同調査が特に注目するのは、施設が稼働する前の段階で容量の事前リース契約(プレリース)が拡大している点だ。Cushman & Wakefieldでリサーチ責任者を務めるPritesh Swamy氏は「新規供給は急速に吸収されており、稼働開始時点で新しいストックの多くはすでに契約済みとなっている」と述べている。電力確保の制約や建設期間の長期化、AIワークロード特有の技術要件が、顧客に完成前からの容量確保を促す要因となっている。 地域別の動向 拡大を牽引しているのは東南アジアで、建設中容量の約半分を占める。マレーシアは建設中容量が1.04GWに達し、ジョホールでは602MWへと91%増加した。タイは建設中が859MWで、バンコクのパイプラインは2.08GWへとほぼ倍増している。インドネシアも1.70GWのパイプラインを抱え、力強い成長を見せる。オーストラリアのシドニーは65%増の2.13GW、インドのムンバイも31%増の1.73GWへとパイプラインを拡大した。 一方、既存の主要市場では供給制約が顕在化している。ソウル首都圏の空室率は1.1%という極めて逼迫した水準にあり、容量が10%増加したにもかかわらずパイプラインは横ばいだ。日本はインドを追い越し、稼働容量1.8GWでアジア太平洋第2位の市場となった。東京とシンガポールの空室率もそれぞれ4.4%、4.8%と引き続きタイトな状態が続く。 主要プロジェクトとしては、CoreWeaveがジャカルタで2028年稼働予定の360MW施設を、CDC Data Centresがオーストラリアの複数キャンパスで米国企業と2028〜2029年にかけて555MWの契約を締結したことが挙げられる。また韓国ではDigital Edgeがデュアル給電のAI対応施設60MWを、タイのコラートではGorilla Technologyが完全稼働時に7万6000基のGPUを収容する200MWのキャンパスを開発している。 電力制約と今後の見通し 同地域は「電力制約下での実行」という段階に入りつつある。計画容量の約82%が電力接続、土地、許認可、機器調達といった要因に左右される状況にあり、開発の重心は既存の飽和したハブから、大規模な電力供給が可能な周辺地区へとシフトしつつある。従来はネットワーク接続の良さが立地選定の主要因だったが、今後は電力と土地の制約がより重視される見込みだ。 同調査は、オーストラリア、インド、日本、マレーシアが2028年までにそれぞれ稼働容量2GWを超えると予測している。需給の逼迫は賃料上昇を後押しし、周辺市場の開発を促す一方、地域差も大きいとみられる。AI需要の爆発的な拡大と電力インフラの供給制約とのせめぎ合いは、当面この地域のデータセンター市場を規定する構図となりそうだ。

概要 Amazon Web Services（AWS）は8月18日、米ルイジアナ州シュリーブポート西部に60億ドルを投じて第3のデータセンターキャンパスを建設すると発表した。これによりキャドー・ボシエ地域全体へのAWSの累計投資額は180億ドルに達する。当初2月の発表時点では地域への投資額は120億ドルとされていたが、今回の追加発表でさらに60億ドルが積み増された形となる。同地域では既にボシエ・パリッシュ（ベントン近郊）とカッド・パリッシュ（ブランシャード近郊）で2施設の建設が進行中で、今回発表された西シュリーブポートの施設が3つ目となる。 施設の詳細と建設計画 新施設はシュリーブポート西部、グリーンウッド・ロード7340番地にある313エーカーの「レジリエント・テクノロジー・パーク」内に建設される。データセンター棟は100万平方フィート以上、加えて10万4千平方フィートのオフィスビルも併設される予定で、開発にあたっては敷地の開発フットプリントを14%縮小し、緑地や自然の緩衝地帯をより多く保全するよう計画が調整された。建設パートナーにはSTACK Infrastructureが名を連ねる。スケジュールとしては2027年中盤に最初の建物が完成し、2028年中盤までに全5棟が完成する見通しとなっている。なお、この西シュリーブポート施設は当初2月の発表時点で計画されていたものの、住民3人による訴訟（都市計画委員会の拒否決定を市議会が覆したことを問題視したもの）により着工が延期されていた経緯がある。 雇用と地域経済への影響 3キャンパス全体で常勤雇用750人（施設ごとに約250人）が創出される見込みで、電気技師やエンジニアなどのデータセンター専門職が中心となる。平均給与は州平均の150%、約9万ドル水準になるとされる。これに加えて建設期間中は最大2,250人規模の臨時雇用が発生する。AWSはまた、3キャンパス全体の水・廃水需要に対応するため、地域の公共水インフラに最大4億ドルを投資する方針も示しており、既存の利用者への影響を避けつつ電力網の需要対応力を確保するため電力会社SWEPCOとも連携を進めているという。 関係者の反応と今後の予定 ルイジアナ州のジェフ・ランドリー知事は、Amazonが短期間で投資を積み増したことについて「同社がこの地で得た経験について明確なメッセージを送るものだ」と述べ、州の労働力や事業環境への信頼の表れだと評価した。シュリーブポート市のトム・アルセノー市長も「シュリーブポートの人々にとって大きな成功だ」とコメントしている。AWSの担当者キース・クライン氏は、インフラ・労働力・地域のリーダーシップへの信頼が今回の投資拡大につながったと説明した。地域住民向けには8月25日午後4時から8時まで、シュリーブポート・コンベンションセンターで公開説明会が開催される予定で、Amazonやパートナー企業のSTACK、請負業者、地元企業が参加し質問に応じるとしている。

概要 Nvidiaは、ソフトバンクグループ傘下でデータセンター・電力インフラを手がけるSB Energyに15億ドルを出資し、オハイオ州で建設が進むOpenAI向け大型データセンター「PORTS-Pike Technology Campus」のAIコンピュート基盤を独占的に供給する提携を発表した。当初、The Informationの報道をもとにCNBCなどが伝えたところでは、Nvidiaは最大30億ドルの出資を検討しており、契約締結時に半額、SB EnergyのIPO実施時に残り半額を支払う案が浮上していた。その後8月17日にNvidia・SB Energy・OpenAIの3社が正式に提携を発表し、出資額は15億ドルに確定した。 出資の経緯と支援内容 報道によれば、Nvidiaは出資に加えて、土地取得・電力確保・建屋(シェル)建設に対する信用支援も提供する。当初はオハイオ州プロジェクト向けに最大1,050億ドル規模の信用枠を用意する案が伝えられていたが、その後Wall Street Journalの報道では、当初計画されていた2,500億ドルから縮小し、1,200億ドル未満の保証にとどめる方向だと報じられている。SB Energyはソフトバンクグループおよび顧客であるOpenAIからも出資を受けており、2019年設立の同社は早ければ9月にも新規株式公開(IPO)を計画し、調達額は50億ドル以上になる見通しとされている。なお、ソフトバンクは以前58億ドル相当のNvidia株式を保有していたが、2025年11月に売却済みである。 データセンターの規模と地域への影響 PORTS-Pike Technology Campusは、オハイオ州パイク郡にある米エネルギー省所有の旧ウラン濃縮施設(ポーツマス・ガス拡散プラント)跡地に建設される。初期段階で4.25ギガワット、将来的には最大8ギガワットまで拡張可能な規模を計画しており、OpenAIはまず4.25IT-GW分の容量を利用する予定で、NVIDIAには残る3.75IT-GW分を追加確保するオプションがある。電力供給のためSB Energyとソフトバンクは9.2ギガワット規模の天然ガス発電所を含む10ギガワット超の新規発電設備を建設する計画で、建設費は330億ドル規模になる見通し。施設は2028年以降、段階的に稼働を開始する予定だ。地域社会向けにはSB Energyが4,000万ドル、OpenAIが4,000万ドルを上乗せしたコミュニティ基金(総額8,000万ドル)を設立し、数万人規模の雇用創出が見込まれている。 背景と今後の見通し Nvidia CEOのジェンスン・フアン氏は「AI自体がインフラストラクチャーとなりつつあり、土地・電力・建屋の確保が極めて重要になっている」と述べ、チップ製造にとどまらず物理インフラへ投資領域を広げる戦略的な狙いを強調した。OpenAI側も、数百万人がAIを活用できる大規模拠点になるとの期待を示している。一方で、天然ガス発電プラントの建設費はここ2年で66%上昇しており、複数の巨大データセンターが同時期に稼働すれば天然ガスの需給が逼迫し、一部地域で価格が3倍に高騰する可能性も指摘されている。AIインフラ需要の急拡大を背景に、Nvidiaのような半導体大手が電力・データセンター事業に直接資本を投じる動きは今後さらに広がる可能性がある。

概要 GitHubは8月17日午前9時40分(米東部時間、日本時間同日22時40分)頃から、世界的な大規模障害に見舞われた。GitHub自身がWebサイト・APIへのリクエストの約2割がエラーとなっていることを報告し、Actions、プルリクエスト、Webhooks、Issues、認証機能(SAML/OIDC)、さらにGitHub Copilotまで幅広いサービスが影響を受けた。障害は3時間19分にわたって続き、開発者のコーディングやCI/CDワークフローに世界規模で支障をきたした。運営元のMicrosoftも障害の発生を確認しており、傘下のCopilotやTeamsでも数百件規模の問題報告が上がった。GitHubは全世界で1億8000万人規模のユーザー(開発者)を抱えるプラットフォームであり、今回の障害はその基盤全体に影響を及ぼした可能性がある。 影響範囲とタイムライン 障害発生直後、第三者の障害追跡サービスDownDetectorには一時ピークで約3000件のダウン報告が寄せられた。エラー率はサービスによって差があり、Webサイト・APIへのアクセスでは約20%、リポジトリのアーカイブダウンロードでは約50%に達した。一方、PackagesとCodespacesは障害の影響を受けずに稼働を続けたが、Git操作やPagesも障害発生からやや遅れて一時的に影響を受けた。米東部時間12時36分、GitHubは「問題のあるコンポーネントを特定した」と発表して修正措置を実施し、同12時45分にはダウン報告が数百件規模まで減少するなど、回復の兆しが見え始めた。GitHubは修正措置の実施後も「強い回復の兆候」を示しているとして、完全復旧に向けた対応を続けた。 背景と今後の課題 今回の障害でGitHubは具体的な根本原因を公表しておらず、記事執筆時点でも調査が継続中とされている。世界中の開発チームが日常的にコード管理、CI/CD、AIコーディング支援を単一プラットフォームに依存している現状において、GitHubのような中核インフラで発生する大規模障害は、開発生産性やリリース作業に直接的な打撃を与える。Microsoft傘下のCopilotやTeamsにも波及したことは、GitHubの基盤がMicrosoftの他サービスとも密接に連携している実態を改めて浮き彫りにした。今後、GitHubから正式な事後分析(ポストモーテム)が公開されるかが注目される。

概要 Cloud Native Computing Foundation(CNCF)は8月17日、Kubernetes上でデータ処理からモデル開発、学習、推論までAI・機械学習のライフサイクル全体を標準化するオープンソースプラットフォーム「Kubeflow」が、CNCFの卒業(Graduation)段階に到達したことを発表した。卒業はCNCFホスティングプロジェクトの中で最も成熟した段階に位置づけられ、技術的な安定性と本番環境での運用実績が公式に認定されたことを意味する。2017年にGoogleで創設され、2023年にインキュベーションプロジェクトとしてCNCFに加わったKubeflowは、6,600人以上の貢献者と1,000を超える組織の参加、33,000以上のGitHubスターを集め、この節目に到達した。 卒業基準と技術的特徴 CNCFの卒業段階に到達するには、第三者機関によるセキュリティ監査の完了、正式なステアリングコミッティの設置、CNCF行動規範の採択、Core Infrastructure Initiative(CII)ベストプラクティスバッジの取得など、複数の厳格な基準を満たす必要がある。Kubeflowはこれらすべてをクリアした。プラットフォームは監視にPrometheus、モデル提供と機能管理にKServeとFeast、ジョブキューイングにKueue、セキュアな通信にIstioといったクラウドネイティブエコシステムの主要コンポーネントと連携し、AI・MLOps運用のための包括的な基盤を構成している。 採用状況と関係者のコメント Bloomberg、NVIDIA、Red Hat、LinkedIn、Spotifyといった大手企業がKubeflowのサブプロジェクトを本番環境で活用しており、PyPI経由での累計ダウンロード数は約2億6,000万に達している。CNCFの最高技術責任者Chris Aniszczykは、Kubeflowが「企業向けAIワークロードの成熟した選択肢を実証した」と評価。共同創設者のDavid Aronchickは、9年前のシンプルなデモから始まったプロジェクトが、今や多くのチームと事業を支える存在へと成長したことに謝意を示した。Red Hatのシニアプリンシパルソフトウェアエンジニアであるフランシスコ・アルセオ氏は、KubeflowがオープンでKubernetesネイティブな基盤の上に本番稼働可能なAIインフラを構築できることを証明したと述べ、特定少数のベンダーに将来を委ねられない組織にとって、その開放性とポータビリティは不可欠だと強調している。 卒業の意義と今後の展望 今回の卒業は3つの側面で意味を持つ。第一に、調達プロセスやリスク評価において「CNCF卒業」というステータスがインキュベーション段階よりも強い信頼性を持つこと。第二に、CNCFのプロジェクトポートフォリオが従来のインフラ領域を超え、エンドツーエンドのAIプラットフォームを提供できる成熟度に達したこと。第三に、ベンダーロックインを避けオープンな基盤を求める規制対応企業にとって、AI主権の実現手段となることだ。今後のロードマップでは、大規模言語モデル(LLM)のオーケストレーション、ファインチューニング機能の強化、大規模データ工学、エージェンティックワークロードへの対応が重点領域として挙げられており、コミュニティは次の成長フェーズを見据えている。

概要 テキサス州のグレッグ・アボット知事は8月3日、送電網運営者ERCOT（Electric Reliability Council of Texas）と州公益事業委員会（PUCT）に対し、電力網への接続を申請しているデータセンタープロジェクトを対象とした包括的な監査の実施を指示した。対象は250〜300件、主にデータセンター案件で、その将来的な電力需要の合計は200ギガワットに達する。これは前月に記録されたERCOTのピーク需要の2倍以上に相当する規模であり、AIブームに伴う電力インフラへの圧力がテキサス州で政治問題化していることを示している。ERCOTの接続申請キューには合計1,800件以上（うち9割がデータセンター）が並んでおり、その潜在需要は474ギガワット超と、州のピーク需要の5倍規模に膨れ上がっている。 監査の内容と対象 監査では、開発事業者に対し以下の情報開示が求められる。 受給している税制優遇措置の内容 電力消費計画および自家発電計画 水使用量と冷却設備の運用状況 地域社会への影響を軽減するための取り組み 施設の所有関係 アボット知事は「（データセンター事業者は）テキサスの一般家庭にコストを転嫁したり、生活の質に悪影響を及ぼしたりしてはならない」と述べており、急増するデータセンター需要が既存の電力利用者に負担を強いることのないよう、透明性を確保する狙いがあるとみられる。監査の完了には数か月を要する見込みで、ERCOTは通常の接続検討プロセスに先立ち、この監査を最優先事項として扱うとしている。最初のバッチ調査は2027年4月までの完了を目指すという。 政治的背景と業界の反応 背景には、データセンター開発の急拡大に対する州内の反発の高まりがある。一方で、少なくとも43社のデータセンター関連企業がアボット知事のこの方針を公に支持しており、業界側も一定の理解を示している格好だ。また、ERCOTが計画する765キロボルトの新設送電線についても、土地所有者からの強い反対に直面しており、州議会議員やダン・パトリック副知事は、議会による審査が済むまで許可を出さないよう求めている。データセンターの電力需要問題は、送電インフラ整備を巡る政治的対立とも絡み合いながら、テキサス州の重要な政策課題となりつつある。 今後の見通し 今回の監査は、AI関連投資の急拡大によって電力網への接続要請が実需をはるかに上回る規模で殺到している現状に対し、州が実態把握とコントロールを試みる動きと位置づけられる。監査結果は今後の接続許可の可否やインフラ投資の優先順位付けに影響を与える可能性が高く、テキサス州に限らず、AI向けデータセンターの電力需要が急増する他州・他地域における規制のあり方にも波及する可能性がある。

概要 AWSは2026年8月12日、IAMロールの設定を自動化する新機能「IAM Role Manager」を一般提供開始した。これまでAWSの各サービスを利用する際には、そのサービスが必要とする権限を持つIAMロールを利用者自身が手動で作成・設定する必要があり、権限の過不足や設定ミスが起こりやすいポイントの一つだった。IAM Role Managerはこの作業を自動化し、対応するサービスコンソールでサービスを設定する際に、Role Managerがデフォルトのロールを自動作成するか、既存の適切なロールを再利用する仕組みを提供する。初回ローンチではAWS LambdaやAmazon EventBridgeを含む6つのサービスコンソールに対応している。 仕組みとユーザーによる制御 IAM Role Managerは、AWSが管理するテンプレートを展開して必要な権限を自動構成する。ここで作成されるロールはあくまで標準的なIAMロールであり、利用者が完全にコントロールできる点が特徴だ。Role Managerが作成したロールは他のロールと区別して識別できるようになっており、いつでも機能自体の有効・無効を切り替えたり、展開されたテンプレートの内容を検査したりすることが可能。自動作成後に権限が広すぎると感じた場合は、IAM Access Analyzerを使って権限を必要最小限まで絞り込むこともできる。 利用可能リージョンと今後の展望 IAM Role Managerは、AWS GovCloud (US) RegionsおよびChina Regionsを除くすべてのAWSリージョンで利用可能となっている。手動でのIAMロール設定はAWS利用における定型作業でありながらミスの温床にもなりやすく、今回の自動化により初期構築のハードルが下がるとともに、最小権限の原則に沿った運用がしやすくなることが期待される。対応サービスは現時点では6つにとどまるが、今後の展開でカバー範囲が広がるかが注目される。