【EC2革命】「あのAMI、どこから来た？」を完全に解決！AMI Watermarksが爆誕！【ガバナンスの救世主】

Amazon EC2は、プライベートAMIに対してカスタム識別子を埋め込むことができる「AMI Watermarks」機能を提供開始しました。このウォーターマークは、リージョン間コピー、実行中のインスタンスからのAMI作成、他アカウントへの共有時においても、メタデータ（AMI ID、オーナーID、リージョン、作成日時）と共に自動的に継承・保持されます。これにより、AMIの由来（プロバナンス）を追跡し、承認済みAMIのみを使用する「Allowed AMIs」設定と連携して、組織全体のガバナンスを強化することが可能です。本機能はすべてのAWSリージョンで利用可能、追加費用なしで提供されます。

🛡️ AMI管理の「野良AMI」問題、ついに終止符へ

これまで、エンジニアが一番恐れていたのは**「このAMI、誰がいつ作ったやつ？」「コピーされてどこへ行ったか分からない」**という、AMIの系譜（プロバナンス）が不明になる問題でした。今回登場したAMI Watermarksは、まさにその悩みを解決する「デジタル刻印」です。

💡 技術的なブレイクスルー

• 「継承性」がエグい: 単にタグを付けるのとは違い、AMIをコピーしたり、インスタンスから新しく作り直したりしても、刻印が消えない。これが最強のポイントです。
• ガバナンスの自動化: 「Allowed AMIs」と組み合わせれば、「承認されたウォーターマークを持つAMI以外は起動させない」という鉄壁のガードを組織全体（Declarative Policies経由）に敷けます。

🇯🇵 日本国内のエンジニアへの重要情報

リサーチの結果、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) で既に利用可能であることが確認できました！日本の現場ですぐに導入可能です。

🛠️ 実践的な運用アドバイス

• コストは完全無料: 追加料金なしで使えるので、今すぐ検討すべき機能です。
• EC2 Image Builderとの連携: 手動で刻印するのは面倒なので、Image Builderのパイプラインに組み込んで「黄金のAMI」に自動でウォーターマークを打つ運用を推奨します。
• 注意点: プライベートAMIのみが対象です。また、一度付与したウォーターマークは削除・変更ができないため、設計段階で識別子のルールを決めておくのが吉です。

🚀 次のアクション

まずは、現在運用している主要なAMIにCLIやコンソールからウォーターマークを付与してみて、その継承性を検証しましょう！

参照元: AWS公式ドキュメント Use AMI watermarks to track and identify AMIs