Category: Expert (400)

サイバー脅威は急速に進化しており、潜在的な問題を抱えるワークロードは 90 秒以内に脅威アクターに発見されます。この記事では、AWS Network Firewall のアクティブ脅威防御を紹介します。アクティブ脅威防御は、Amazon のハニーポットネットワーク MadPot の脅威インテリジェンスを活用し、30 分以内に保護ルールを自動でデプロイします。DNS、HTTP、TLS SNI、IP の各レイヤーでブロックするスイスチーズモデルの多層防御によって、攻撃キルチェーンの各段階を阻止します。また、Amazon GuardDuty との連携に加え、CVE-2025-48703 を悪用して Mythic C2 フレームワークをデプロイしようとした実際の攻撃を阻止した事例も解説します。

生成 AI アプリケーションでは、Amazon Bedrock や大規模言語モデル (LLM) などを組み合わせるため、さまざまなレベルでのアクセスコントロールが欠かせません。この記事では、モデルの選択、適応、テスト、運用の各フェーズで最小権限の原則を適用する方法を紹介します。サービスコントロールポリシー (SCP)、VPC エンドポイントポリシー、KMS キーポリシー、Amazon Bedrock Guardrails、Amazon Bedrock Agents を使ったポリシーの例も示します。あわせて、モデル呼び出しログの機密データ保護と、IAM Access Analyzer によるアクセス許可の定期的な見直しについても説明します。

Amazon Aurora DSQL は外部キー制約をサポートしており、行レベルのロックを使わずに参照整合性をデータベース側で保証できます。本記事では、外部キー制約の定義、即時チェックと遅延チェック、ダウンタイムなしでの制約の追加、OCC による競合解決の仕組み、スケールを考慮した FK 設計とリトライロジックを説明します。

この記事では、Amazon EC2 インスタンス構成証明、NitroTPM、Attestable AMI を使用して、セルフマネージド型データベースでゼロオペレーターアクセス (ZOA) を実現する方法を説明します。Nix Flakes で再現可能な AMI をビルドして PCR 測定値を算出し、AWS KMS キーポリシーの条件に設定します。これにより、LUKS で暗号化された EBS ボリュームを、正しい AMI で起動したインスタンスでのみ復号できるようにします。PostgreSQL を例に、dm-verity やセキュアブートを組み合わせたブート時の信頼チェーンも詳しく解説します。

この記事では、組織の暗号アルゴリズムポリシーを AWS の予防的コントロールと発見的コントロールに変換する方法を紹介します。ML-DSA-65 と ML-DSA-87 を承認し、ML-DSA-44 を除外する例を用いて、kms:KeySpec 条件キーと SCP、IAM ポリシー、アクセス許可の境界、キーポリシーを組み合わせた多層防御を解説します。AWS Private CA や TLS 証明書に対するプロビジョニング制御、AWS CloudTrail と AWS Config によるドリフト検出、暗号アジリティを実現する設計のポイントも説明します。

「今収集し、後で偽造する」脅威に備え、AWS KMS、AWS Private CA、IAM Roles Anywhere を組み合わせて、ML-DSA による耐量子ソフトウェアサプライチェーンを構築する方法を紹介します。ML-DSA PKI 階層の構築から、CI/CD パイプラインでのバイナリ、コンテナイメージ、SBOM への署名、デプロイ時の検証、SCP による予防的コントロールまでを解説します。さらに、CNSA 2.0 や EU サイバーレジリエンス法の期限に向けた推奨アクションもまとめます。

Amazon Aurora MySQL Serverless v2 のデータを AWS Glue 5.0 で Amazon S3 Tables に Apache Iceberg 形式で抽出する方法を紹介します。CloudFormation テンプレートによるインフラの自動プロビジョニングからデータ移行、Amazon Athena でのクエリまでの手順を解説します。

GPU アクセラレーションによるベクトルインデックス作成が Amazon OpenSearch Service と OpenSearch Serverless で利用できるようになり、10 億規模のベクトルインデックスを数日ではなく数時間で構築できます。本記事では、GPU ワーカーへ処理をオフロードする分離型アーキテクチャや、NVIDIA cuVS で構築した CAGRA グラフを CPU で検索可能な HNSW に品質を落とさず変換する仕組みを解説します。あわせて、10 億件の 1024 次元ベクトルによるベンチマーク結果と、運用のベストプラクティスも紹介します。

Amazon RDS for Db2 のアーカイブログを Amazon S3 にコピーし、セルフマネージドの Db2 インスタンスへ継続的に適用することで、両者を同期させ続けるハイブリッドアーキテクチャを紹介します。これにより、マネージドサービスの利点を活かしつつ、緊急バックアップサーバーや切り戻しの選択肢を確保できます。IAM 権限の設定からロールフォワードの運用、トラブルシューティングまでの手順を解説します。

Amazon RDS for Db2 は、お客様自身の Active Directory を利用した Kerberos 認証をサポートしており、データベースユーザーの認証を一元化してシングルサインオンを実現できます。本記事では、専用の OU とサービスアカウントの作成、必要な AD 権限の委任、KMS で暗号化したシークレットへの認証情報の保存、そしてドメイン参加済みクライアントからの接続検証まで、セルフマネージド AD による Kerberos 認証の設定手順を順を追って説明します。