AWS re:Invent 2024で私が気になったことまとめ ～設計・アーキテクチャ編～【AWSシリーズ】
哈儸大家好！あっきーです。
今年も年1のAWS公式ビックイベントである「AWS re:Invent 2024」が、先日ラスベガスで開催されました。
こちらについて、私がサイボウズのWebチームとして気になったことを、簡単にピックアップしてみました。
今年は2部構成で書いてまして、こちらが「設計・アーキテクチャ編」、次回は「生成AI編」を予定しています。
例年のごとく、完全に個人メモのようなものですが、ご興味のある方はぜひ読んでいただければ幸いです。
※過去のはこちら
ちなみに、
今年はre:Invent期間だけでなく、いわゆる「予選落ち（※re:Invent開催の前に出るアップデート）」にもたくさん気になるものがありました。
というか、「生成AI」分野が期間中多かった関係もあり、それ以外の分野は「予選落ち」の方がアツかった気もします。
そうなってくると、どこからが「予選落ち」期間なのかが難しいですが、とりあえず感覚でリストアップしてます。
インフラ周り
ストレージ、ファイルシステム、ネットワーク
【予選落ち】
S3バケットのデフォルト上限数アップ
100→10000個と、100倍になりました。
いきなりスケールのでかさを感じるアップデートでした。
ALBのコンソール画面からCloudFrontとWAFを簡単に統合可能に
ALBとCludFrontとWAFの定番構成が、ALBの画面上でまとめて設定できるように。とりあえず試すときにはとっても便利になりますね。
ALBとNLBの暖気申請が予約可能に
タイミング見てサポート窓口から申請するものが、自分たちの画面からサクッと予約可能になりました。少し運用負荷が減るなと思います。
CloudFront 標準ログがアップデート
ログの形式やフォーマットを指定できるようになったことで、事前にパーティションが切れたりフォーマットが指定できることで解析が楽になったり、設定が容易になったりするようになりました。設計面で結構ありがたいアップデートだと思います。
CloudFront の新機能「VPCオリジン」
この機能により、プライベートなALBをオリジンに指定することができるようになりました。従来裏にいたパブリックALBがプライベートになることで、セキュアな設定が容易になったり、IPv4分の料金が安くなったりと、いいことだらけな機能だと思いました。
CloudFrontディストリビューションで静的IPアドレスが利用可能に
CloudFrontは従来静的IPはなかったのですが、それができるようになりました。各種SGやIP管理で楽になる場面がありそうです。
EFSがクロスアカウントレプリケーションをサポート
これまでできなかった、「EFSの中身を別アカウントの別リージョンに移動」のようなことができるようになりました。災害時のDR対策面でかなり嬉しいアップデートなのではないでしょうか。
VPCのブロックパブリックアクセスが登場
これまでS3にあったようなものが、VPC単位でも設定できるようになりました。SGなどの既存の設定もありますが、必要な場合はとてもセキュアになるアップデートだと思います。
【期間中】
Amazon S3 メタデータが登場（プレビュー）
S3のオブジェクトのメタデータを自動で生成してくれる機能が出ました。膨大になるS3上のデータを検索性が上がりそうです。
Amazon S3 Tablesが登場
こちらは、テーブルデータに特化した、S3バケットの新しい種類のようです。上記の「S3 メタデータ」もそうですが、膨大なオブジェクトの検索性に関するアップデートが多くなったなという印象です。
S3におけるデフォルトのデータ整合性保護強化
S3では、オブジェクトをアップロードする際のデータの整合性をもともと担保していましたが、それが強化されるようです。これもデータ関連のためのアップデートなのかもしれません。
S3をWebブラウザから操作するためのコンポーネントが提供
AWS Amplify の React クライアントライブラリおよび JavaScript クライアントライブラリでの提供ですが、WebブラウザからS3を操作するための画面を簡単にWebアプリに導入できるようになりました。社内の小さなものから、エンドユーザー向けまで、ユースケースが広がりそうなアップデートです。
データベース
【期間中】
Amazon Aurora DSQLの登場
DBには全く明るくない自分ですが、この話題を取り上げないわけにはいかないと思い載せてます。AWSが推しているAuroraが超絶パワーアップしています。実際は色々あるのでしょうが、超注目だとは感じています。
オブザーバビリティ
【予選落ち】
CloudWatchでオブザーバビリティソリューションの提供開始
監視で使われるCloudWatchですが、ダッシュボードの作成には少し癖がありました。そこが容易になるアップデートです。
CloudWatchでリソース関係の可視化ができるように
AWSでシステム構築を行う場合、複数のサービスのリソースを組み合わせて行うことが多いかと思います。しかし、監視項目は各リソースの項目ごとで、全体感は自身で紐づけてみるなどのつらみがありました。そこが、本アップデートで容易に可視化できるようになりました。上述のもそうですが、「視覚的に簡単にわかる」のはオブザーバビリティの一つのポイントだと感じました。
AWS CloudFormationデプロイのタイムラインビューが導入
こちらも一種の可視化ですが、CloudFormationのデプロイを視覚的に見えるようになりました。スタックには複数のリソースが入ることが多いですが、それがどの順番で作られて、どのくらい時間かかっていたか、どこで失敗したのかが見やすくなるのは面白いと思いました。
管理・セキュリティ
管理
【予選落ち】
AWS Organizations管理下で、ルートユーザーの操作を制限できるように
AWSアカウント管理で重要となるルートユーザーですが、それの管理がしやすくなりました。例えば、そもそもルートユーザーを使わないのがベストプラクティスなのですが、それが設定できるようになりました。その一方で、ルートユーザー特有の特定操作の実行権限を委譲することも可能になっています。そういった穴もちゃんと防いでいただけるのもありがたいですね。
AWS Resource Explorerで、リソースのタイムラインと関係が見やすく
AWS上のリソースの検索などで使えるResource Explorerですが、そこでの可視化機能が増えています。個人的に気になったのは、リソース変更のタイムラインと、リソース間関係が見える部分です。これまでconfigなどを使って調べる部分が見やすくなったのではと感じています。
【期間中】
AWS Organizationsで宣言型ポリシー（declarative policies）が登場
AWS Organizationsには、これまでSCPやRPCというポリシー機能があり、それでユーザーもしくはリソース操作のためのAPI利用を制限ができました。ただ、これだと、「させたくないこと」に対しては、「xxはyyyをしてはダメ」みたいな対象が必要になっていました。しかし、今回新しく出た宣言型ポリシーは、そうではなく、特定のリソースに対して、「こういったことはさせないよ」ということを宣言しておくような感じだそうです。まだ特定リソースの特定内容のみですが、広くガードレールを引けるというのは便利だなと思います。個人的にまだ勉強不足なのですが、今後のために学習していければと思います。
セキュリティ
【期間中】
GuardDutyで、複数のイベントをまとめて脅威として検出してくれる機能が追加
AWSのセキュリティの基本サービスで、近年防御領域をどんどん増やしていたGuardDutyですが、複数の検知を1つのイベントにまとめてくれる機能が出ました。攻撃って、特定のリソース1つに対してというわけではなく、複数のリソース（権限）を突いて行うことが多いので、それらを1つのイベントとしてまとめて教えてくれるのは、より分かりやすくなるなと思いました。
EC2で、許可されたAMIの指定ができるように
AMIは、プライベートのものやマーケットプレイスなどで公開されいるパブリックなものがありますが、それらの管理ができるようになりました。これで、許可されていない不審 or ポリシー違反のAMIに対するガバナンスが取りやすくなったなと思います。
AWS Security Incident Responseの登場
セキュリティインシデントに対して、AWSの有人サポートが24・365でサポート、対応してくれるサービスです。エンタープライズ向けなので、月額7000ドル(！)でお高いですが、きっとニーズはありそうだと思いました。こういった超エンタープライズ向けのサービスも増えそうだなって思いました。
おわりに
いかがだったでしょうか。
本当は1本にまとめて書こうと思ってたのですが、「あ、思ったより多い」ってなって2部構成になっています。
年明け時間取ってじっくり後半の「生成AI」編を書いていこうと思います。時間あるかなぁ。。。
それではまた！
皆様良いお年を～
