クラウド上で機械学習やデータ分析基盤を運用する際、プロジェクトごとに払い出される実行権限やリソースの命名規則を社内標準へどう統一するかは、運用管理者の大きな課題です。AWSは2026年10月9日、Amazon SageMaker Unified Studioにおいて、独自のAWS CloudFormationテンプレートを用いたカスタムTooling blueprintに対応したことを発表しました。この更新により、プロジェクト作成時にプロビジョニングされる環境構成を、組織ごとの規約に合わせて定義できるようになりました。

発表の詳細は、AWSの公式告知であるAmazon SageMaker Unified Studio now supports custom Tooling blueprints - AWSで確認できます。これまではマネージド型の定義に沿った環境構築が中心でした。今回の対応により、管理者が社内標準に準拠したIAMロール名や、AWS管理ポリシーに代わる独自の権限境界を組み込んだテンプレートを登録し、プロジェクトプロファイルに組み込んでプロジェクト作成時に適用できるようになりました。

テンプレートの検証機能と社内規約確認の違い

AWSの説明によると、サービス側はテンプレートの登録時と各プロジェクトの配置後の2回にわたって検証を行います。この検証は、プロジェクトメンバーが作業を開始する前に、必要なリソースが正常に存在しているかを確かめる仕組みです。

注意したいのは、この検証が「社内のセキュリティ規約や業務要件を満たしているか」までを保証するものではない点です。サービス側が確認するのは基盤として必要なパラメータやリソースの整合性であり、組織が定めた権限の過不足やデータアクセスの制御方針が適切かどうかは、運用側で個別にテストして確認する必要があります。

独自環境を定義する際の接続名とロール設計

カスタムTooling環境を設計するにあたっては、CloudFormationテンプレートの書き方や接続定義に固有の仕様が定められています。詳細な要件は、管理者向け公式ドキュメントのCustom blueprints as Tooling - Amazon SageMaker Unified Studioで確認可能です。

まず、既定のIAM接続名には厳格な命名制約があります。メンバーが利用する認証の権限セットに応じて名前を一致させる必要があり、IAM権限を使用する場合はdefault.iam、IAM Identity Center権限を使用する場合はproject.iamと指定しなければなりません。公式ドキュメントでは、これら以外の名称は受け付けられないと明記されています。

また、テンプレート内でのロールの扱いにも注意が必要です。CloudFormationの出力でuserRoleArnをエクスポートすることは禁止されています。SageMaker Unified StudioはIAM接続にバインドされたRoleArnからプロジェクトロールを自身で解決するため、テンプレート側で同じロールを再エクスポートするとエラーになります。

さらに、利用するドメインの種別によってもロールの管理方法が分かれます。IAMベースのドメインでは、プロジェクト作成時にプロジェクトロールのARNを渡し、テンプレート側は予約パラメータであるdatazoneEnvironmentProjectExecutionRoleArn経由でその値を受け取る仕様です。一方で、Identity Centerベースのドメインではテンプレート自体がプロジェクトロールを作成する構成をとるため、作成時のロールARN指定は省く手順となっています。

プロジェクトプロファイルでの配置順序と検証の進め方

作成したカスタムblueprintは初期状態では無効化されているため、特定のアカウントとリージョンで利用するにはプロビジョニングロールを指定して有効化する必要があります。有効化後は、プロジェクトプロファイルと呼ばれる構成に組み込んで展開します。

プロファイルの設定手順では、Tooling環境の展開モード（deploymentMode）をON_CREATEとし、展開順序（deploymentOrder）を0に指定することが案内されています。これにより、プロファイルに含まれる他の環境よりも先にTooling環境が確実に配置されます。

国内の企業でこの仕組みを活用する場面として、例えば部門ごとに受注データの分析やAIモデル検証用プロジェクトを立ち上げるケースが考えられます。全社共通のIAM命名規則やアクセス境界をあらかじめ反映したテンプレートを用意できれば、プロジェクト作成ごとの個別調整を減らせる可能性があります。ただし、既存環境で利用しているロールをそのまま再利用できるかや、蓄積されたデータソースへのアクセスが想定通りに動くかは、各社の構成によって異なります。まずは限定した検証環境を作成し、プロジェクトの自動作成と業務で必要なデータアクセスの挙動を段階的に確かめることが現実的です。

社内の開発基盤設計と業務連携のご相談

分析環境やAI開発基盤を社内に整備する際は、クラウドサービス固有の仕様を把握するだけでなく、誰がどの業務データを扱い、どのような権限範囲で作業を行うのかという業務側の要件整理が欠かせません。

デノフでは、Webサイトや業務システムの設計・開発・運用保守を手がけており、業務の整理からAIを活用する業務の選定、ツール選定、導入後の定着支援まで幅広く対応しています。詳細はデノフのサービス案内に掲載しています。

既存の業務システムと連携した分析環境の検討や、小規模な検証を通じた実装範囲の切り分けなど、ご依頼内容が固まっていない初期段階からのご相談も歓迎しています。社内のデータ活用や開発環境の整備でお悩みの際は、デノフへの相談窓口よりお気軽にお問い合わせください。