AWS認定資格 WEB問題集＆徹底解説機械学習エンジニア アソシエイト（MLA）

会員登録/ログイン

1. サービス概要

Amazon Q Developer in chat applications（旧 AWS Chatbot）は、Slack や Microsoft Teams のチャネルに AWS の運用通知を届け、そのチャネルから AWS リソースの確認や操作まで行えるようにする ChatOps 向けのサービスです。 CloudWatch アラーム、セキュリティの検出結果、デプロイの成否、予算超過などを Amazon SNS トピック経由で受け取り、読みやすく整形してチャネルへ投稿します。

2025年2月19日に AWS Chatbot から現在の名称へ改称されました。機能・料金・既存の設定はそのまま引き継がれ、API の名前空間（chatbot）、IAM アクション、コンソール URL、CloudFormation のリソースタイプ（AWS::Chatbot::SlackChannelConfiguration など）には旧名が残っています。 AIP-C01・MLA-C01 の試験ガイドの対象サービス一覧には旧名「AWS Chatbot」で掲載されているため、両方の名前を同じサービスとして結び付けておくことが大切です。 本質は「SNS トピックをチャネルに関連付けるだけで、Webhook 連携の Lambda 関数を自作せずに通知と操作をチャットへ集約できる」マネージド連携である点です。

2. 主な特徴と機能

2.1 SNS トピックを起点にした通知配信

通知はすべて SNS トピックを経由します。CloudWatch アラーム、EventBridge ルール、AWS Budgets、CloudFormation のスタックイベント、CodePipeline・CodeBuild・CodeDeploy の通知ルール、Security Hub CSPM、GuardDuty、AWS Health、Systems Manager などのメッセージを解析し、チャット向けに整形します。 CloudWatch アラームの通知には対象メトリクスのグラフが添付されるため、チャネル上で状況をすぐ把握できます。 なお EventBridge 経由で扱えるのは AWS サービスのイベントで、CloudWatch アラームや開発者ツールの通知は EventBridge ではなく各サービス側の SNS 通知設定から送ります。

2.2 チャネルからの AWS CLI 実行

チャネルでアプリにメンション（@Amazon Q。旧 @aws）し、標準の AWS CLI 構文でコマンドを実行できます。必須パラメータが足りなければ対話で補完を求められます。 メトリクスやログの確認、Lambda 関数の呼び出し、Systems Manager Automation ランブックの実行、サポートケースの作成などを、コンソールにサインインせずに行えます。

2.3 カスタム通知・カスタムアクション・エイリアス

自社アプリのイベントも、決められたスキーマで SNS へ発行すれば整形済みの通知として表示できます（EventBridge の入力トランスフォーマーで成形する方法もあります）。 カスタムアクションは通知にボタンを付け、CLI コマンドや Lambda 関数を割り当てる機能で、「通知を見てワンクリックで定型対処」を実現します。長いコマンドはエイリアスで短縮できます。

2.4 生成 AI アシスタントへの質問

チャネルから Amazon Q Developer に AWS について質問できます。チャット経由は Free tier の範囲に限られ、ロールとガードレールに AmazonQDeveloperAccess の権限が必要です。

2.5 対応チャットクライアントと IaC

CLI 実行や対話機能を含めてフルに使えるのは Slack と Microsoft Teams です。Amazon Chime の Webhook への通知にも対応していましたが、Amazon Chime 自体が 2026年2月20日にサポートを終了しているため、新しい設計では Slack / Teams を前提にします。

3. アーキテクチャおよび技術要素

1. 管理者が Slack ワークスペースまたは Microsoft Teams テナントとの連携を承認し、チャットクライアントを登録する。
2. チャネル設定（channel configuration）を作成し、対象チャネル、IAM ロール（チャネルロールまたはユーザーロール）、チャネルガードレールポリシー、関連付ける SNS トピックを指定する。
3. 通知元のサービスが SNS トピックへ発行する（CloudWatch アラームのアクション、EventBridge ルールのターゲット、通知ルールなど）。
4. SNS トピックを購読しているサービスがメッセージを解析し、対応形式なら整形してチャネルへ投稿する。
5. ユーザーがコマンドを入力すると、ロールとガードレールの両方で許可されているかを確認したうえで実行し、結果をチャネルへ返す。
6. 実行された API 呼び出しは CloudTrail に記録される。

SNS トピックを KMS のカスタマーマネージドキーで暗号化する場合は、発行元のサービス（CloudWatch など）がそのキーを使えるようキーポリシーを設定しておく必要があります。

4. セキュリティと認証・認可

• チャネルロール: チャネルの全メンバーに同じ権限を与える。「通知権限」「読み取り専用コマンド権限」「Lambda 呼び出し権限」「AWS Support 権限」などのテンプレートから作成できる。
• ユーザーロール: メンバーが各自のロールを選び、チャットのユーザー ID に紐付ける。メンバーごとに権限を変えたい場合や、参加直後のメンバーに操作させたくない場合に使う。アカウント単位でユーザーロールを必須にできる。
• チャネルガードレールポリシー: チャネルで実行できる操作の上限。実効権限は「ロールで許可されたもの」と「ガードレールで許可されたもの」の共通部分になり、管理者権限のロールを持つユーザーでもガードレールの範囲を超えられない。
• 実行できない操作: IAM、KMS、STS、Secrets Manager、Cognito、S3 のオブジェクト取得・書き込みなど機密性の高い操作は、権限を与えてもチャネルからは実行できない。
• 組織ポリシー: AWS Organizations の「チャットアプリケーションポリシー」（旧 Chatbot ポリシー）で、利用を許可するチャットクライアントやワークスペースを組織全体で統制できる。SCP も併用できる。
• 監査: チャネルから実行された操作は CloudTrail で追跡できる。

5. 料金形態

通知の配信、CLI コマンドの実行、カスタム通知・カスタムアクション・エイリアスといった生成 AI 以外の機能は追加料金なしで利用できます。

• 関連サービスの料金: SNS、CloudWatch アラーム、EventBridge、Lambda、Systems Manager Automation など、通知元や実行先のサービスの利用料は通常どおり発生する。
• 生成 AI 機能: チャットからの Amazon Q Developer への質問は Free tier の範囲に限られる（Pro 契約があってもチャット経由は Free tier の上限が適用される）。

6. よくあるアーキテクチャ・設計パターン

• 運用アラームの一元通知: CloudWatch アラーム → SNS → 当番チャネル。メールに埋もれて初動が遅れる問題を解消する。
• セキュリティ検出結果の通知: GuardDuty や Security Hub CSPM の検出結果を EventBridge ルールで重大度フィルタし、SNS 経由でセキュリティチャネルへ届ける。
• CI/CD の通知: CodePipeline の通知ルールでステージ失敗や手動承認待ちを開発チャネルへ通知する。
• ML 運用の監視: SageMaker AI エンドポイントのレイテンシー・エラー率のアラーム、Model Monitor の違反、学習ジョブやパイプライン実行の状態変化（EventBridge）を MLOps チャネルへ集約する。
• 生成 AI アプリの運用: Amazon Bedrock のスロットリングやトークン使用量、Guardrails の介入回数などのメトリクスにアラームを設定してチャネルへ通知し、読み取り専用コマンドで一次調査する。
• 定型対処のボタン化: カスタムアクションで Automation ランブック（再起動・スケール変更など）を起動し、対処時間を短縮する。

7. 設定・デプロイ手順（ハンズオン例）

1. Amazon Q Developer in chat applications のコンソールを開き、チャットクライアントとして Slack を選んでワークスペースへのインストールを承認する。
2. 通知用の SNS トピックを作成する（既存トピックの流用も可）。
3. チャネル設定を作成し、対象チャネル、チャネルロール（テンプレート「通知権限」「読み取り専用コマンド権限」）、ガードレールポリシー（例: ReadOnlyAccess）、SNS トピックを指定する。
4. Slack 側で対象チャネルにアプリを招待する。
5. CloudWatch アラームのアクションに SNS トピックを設定し、aws cloudwatch set-alarm-state で一時的に ALARM 状態にして、グラフ付き通知が届くことを確認する。
6. チャネルで @Amazon Q cloudwatch describe-alarms --state-value ALARM のようなコマンドを実行し、権限どおりに動作することを確認する。
7. 本番では設定を CloudFormation・CDK・Terraform などでコード化し、ユーザーロールの必須化や Organizations のポリシーで統制する。

8. 試験で問われやすいポイント