【警報】SCPでSageMakerが拒否される時代は終わった！Unified Studioが権限境界（Permissions Boundary）に完全対応

Amazon SageMaker Unified Studioにおいて、Tooling ブループリントの構成でカスタムIAM権限境界（Permissions Boundaries）を指定できるようになりました。これにより、プロジェクト作成時に自動生成される3つのIAMロール（プロジェクトユーザー、Amazon Bedrockサービス、Bedrock Lambda実行）に対して、一括で権限境界を適用することが可能になります。この機能により、すべてのIAMロールに権限境界の適用を強制するSCP（Service Control Policies）を運用している組織でも、SageMaker Unified Studioを導入できます。

🛡️ セキュリティ担当者、ついに一息つけるか？

「新しいAIサービスを導入したいが、SCPの権限境界ポリシーのせいでロール作成がエラーになる...」という、ガチガチに守られたエンタープライズ環境でよくある苦悩が、ついに解決へと向かいます。

💡 技術的なブレイクスルー

従来のSageMaker Unified Studioでは、自動プロビジョニングされるロールがSCPの要件を満たせず、プロジェクト作成が失敗するという運用上の壁がありました。今回のアップデートにより、ブループリントレベルで権限境界を事前に指定しておくことで、、新しく作られるプロジェクトのロールすべてに自動で権限境界がアタッチされるようになります。これは「セキュリティの強制」と「AI開発の民主化」を両立させる神アプデです。

🇯🇵 日本のエンジニアへの重要なお知らせ

リサーチの結果、東京リージョン (ap-northeast-1) は利用可能であることが確認されました。一方で、大阪リージョン (ap-northeast-3) は現時点ではサポート対象外です。国内案件でマルチリージョン構成を検討している方は注意してください。

⚠️ 実践的な運用アドバイス

ここで、実際に運用する際にハマるポイントを3つお伝えします。

1. 既存プロジェクトは対象外: この設定は新規プロジェクトにのみ適用されます。既存のプロジェクトでコンプライアンス違反を指摘された場合は、手動での修正が必要です。
2. APIのリクエストは「上書き」: put-environment-blueprint-configuration APIを使用する際、既存のパラメータを含めずにARNだけを送ると、他の設定が消えてしまいます！必ずすべてのパラメータをセットで送るようにしましょう。
3. ポリシーの事前作成: 権限境界として指定するポリシーは、あらかじめアカウント内に作成しておく必要があります。

🚀 次のアクション

まずは、開発用のサンドボックス環境で、Tooling ブループリントの更新（API経由）を試し、権限境界が正しく3つのロールに付与されるかを確認することをお勧めします。

Reference: Amazon SageMaker Unified Studio 管理ガイド (Manage Tooling blueprint parameters) https://docs.aws.amazon.com/sagemaker-unified-studio/latest/adminguide/manage-tooling-blueprint.html