【検証】VPCからBrave Searchを使う：Network Firewallで api.search.brave.com だけ穴を開けて、Web検索・AI回答が通るか試す

• URL: https://dev.classmethod.jp/articles/aws-nfw-brave-search-api-verification/
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: FargateやAgentCore上のAIエージェントにWeb検索を組み込む際、AWS Network Firewallでapi.search.brave.comの1ドメインだけ許可すればWeb検索・AI回答（Summarizer）が全て通ることをCDK構成で実証。ステートフルなSNIフィルタの使い方と、戻りトラフィックもNetwork Firewallを通す必要がある設計上の理由を詳述した。

詳細

検証の目的

• AIエージェントにWeb検索を足すために、ファイアウォールに開けるべき穴の数を確認
• Brave Search APIのエンドポイントは全て api.search.brave.com のサブパスに集約 → 1ドメインで全機能通るはずという仮説を検証

構成

• 単一VPC・単一AZ（検証用に最小構成）
• 3層サブネット: workload（EC2）/ public（NAT Gateway）/ firewall（Network Firewallエンドポイント）
• Network Firewallのデフォルト: 全egress遮断（aws:drop_established）
• CDK1ファイルでデプロイし、ドメイン許可だけCLIで後から追加する設計

重要な設計ポイント

• 戻りトラフィックもNetwork Firewallを通す必要がある: ステートフルなSNI（ドメイン）フィルタは1通信の行きと戻りを同じ経路で見る → Internet GatewayにEdge Route Tableを設定して戻りをNetwork Firewallへ迂回
• セキュリティグループは外向きをTCP443 to 0.0.0.0/0のみ（宛先IPは絞らずドメイン制御はNetwork Firewallに任せる）
• Brave APIキーはSecrets Managerにインターフェースエンドポイント経由で保存（インターネット不要）

検証結果

• api.search.brave.com の1ドメインだけ許可した状態で、curl・Python・AI回答（Summarizer）の全て通信成功を確認（東京リージョン, 2026年6月）

本番向け推奨構成

• 複数アプリVPCをTransit Gatewayで集約し、中央のegress VPCのNetwork Firewallでまとめて検査するアーキテクチャが一般的

日本国内だけでAmazon BedrockのClaudeモデル実行を許可するIAMロールを試してみた

• URL: https://dev.classmethod.jp/articles/force-invokation-claude-in-jp-geo-with-iam-role/
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: 日本国内クロスリージョン推論プロファイル（jp.* プレフィックス）を使い、IAMポリシーでグローバル推論プロファイルへのアクセスをブロックする方法を実測検証。推論プロファイルARNと基盤モデルARNの両方を許可する必要があること、条件キーbedrock:InferenceProfileArnの使い方を確認した。

詳細

日本国内向け推論プロファイル（Claude Sonnet 4.5の例）

"inferenceProfileArn": "arn:aws:bedrock:ap-northeast-1:<ACCOUNT_ID>:inference-profile/jp.anthropic.claude-sonnet-4-5-20250929-v1:0"
"models": [
  "arn:aws:bedrock:ap-northeast-3::foundation-model/...",
  "arn:aws:bedrock:ap-northeast-1::foundation-model/..."
]

→ ap-northeast-1（東京）と ap-northeast-3（大阪）にルーティング

必要なIAMポリシーの構造

1. 推論プロファイルへのInvoke許可
2. ルーティング先の基盤モデルへのInvoke許可（条件キーで「このプロファイル経由のみ」に限定）

検証結果

• グローバルプロファイル（global.*）指定 → AccessDeniedException で正しくブロック
• 基盤モデルへの許可を省いた場合 → ap-northeast-3へのルーティング先でエラー（モデル権限も必要なことを確認）

補足

• JP Anthropic Claude Opus 4.8 など新モデル向けの推論プロファイルも公開済み
• Service Control Policy(SCP) でも同様の制限が可能（本記事では未検証）
• Claude Sonnet 4.5はGeoまたはGlobal推論プロファイル経由のみ利用可能（直接個別リージョン指定不可）

dbt の AI エージェントである dbt Wizard がパブリックプレビューになったので試してみた

• URL: https://dev.classmethod.jp/articles/dbt-wizard-public-preview-snowflake/
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: dbt の AI エージェント「dbt Wizard」がパブリックプレビュー化。dbt platform（Web UI・Studio IDE）とWizard CLIの3形式で提供され、メタデータエンジンによるリネージ解析が汎用コーディングエージェントとの最大の差別点。CLAUDE.md/.claude/skills/ からの設定引き継ぎも検証し、Studio IDE では1モデル=1YAMLルールが正しく遵守されることを確認した。

詳細

dbt Wizardの主な機能

• モデル・テスト・ドキュメントの生成とリファクタリング
• 自動バリデーションループ（SQL コンパイル確認→自己修正→差分提示）
• ジョブエラーのデバッグ
• レビューと承認（Ask for approval モード）
• チーム規約の適用（Markdown形式のスキルファイルで命名規則等を記憶）

Claude Code設定の引き継ぎ

• CLAUDE.md と .claude/skills/ を自動読み込み可能
• dbt platform チャット（Home タブ）では Claude 設定が読まれなかった
• Studio IDE では Claude 設定が正しく読み込まれ、ルールが遵守された

影響範囲分析の精度

• stg_customers.customer_id を cust_id にリネームした場合の影響箇所を正確に列挙
• 別モデルYAMLの relationships.arguments.field 参照まで検出（テキスト検索では見落としやすい）

提供形式とステータス（2026-06-04時点）

AIプロバイダー

OpenAI / Anthropic / Azure / AWS Bedrock / Snowflake Cortex（プレビュー）

Amazon Bedrock 経由の Claude Code に SAML 認証を設定する

• URL: https://dev.classmethod.jp/articles/guidance-for-ccwb-saml/
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: AWS公式ソリューション「Guidance for Claude Code and Cowork on Amazon Bedrock」にはSAML直接サポートがないが、Cognito User Poolを外部IDプロバイダー経由で構成することで間接的にSAML SSO認証を実現する方法を検証・解説。Keycloakを例に属性マッピング・外部プロバイダー追加の手順を詳述した。

詳細

アーキテクチャ

• Cognito User Pool を新規作成 → SAML IDプロバイダー（Keycloak）を外部プロバイダーとして紐付け
• CLIでのデプロイ: cognito-user-pool-setup.yaml CloudFormation テンプレートを使用

IdP側の設定（Keycloak）

• Client type: SAML
• Client ID: urn:amazon:cognito:sp:<ユーザープール名>
• Valid redirect URIs: https://<ドメイン>.auth.<リージョン>.amazoncognito.com/saml2/idpresponse
• 属性マッピング: email → email、username → username（Cognito の preferred_username に対応）

AWS側の作業

1. 自己登録の無効化（外部プロバイダー追加の前提条件）
2. SAML IDプロバイダーの追加（メタデータXMLアップロード）
3. アプリケーションクライアントのIDプロバイダーを変更

検証結果

• Guidance for Claude Code and Cowork on Amazon Bedrock の設定ファイルをインストールした状態でClaude Codeを起動するとSSO画面に遷移し、Bedorckモデル経由での動作を確認

示唆

• Cognito User Poolのデプロイ自体がソリューション内に含まれており、既存の構成に乗る形で自然にSAML対応できる現実的な選択肢

[小ネタ] Kiro のサブスクリプションを解除してみた

• URL: https://dev.classmethod.jp/articles/kiro-enterprise-user-subscription-cancel/
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: IAM Identity Center経由でログインするKiro for enterpriseユーザーのサブスクリプション解除手順の記録。AWSマネジメントコンソールのKiroコンソールから実施し、解約は日割り計算なし（翌月初から有効）という注意点もあわせて確認した。

詳細

解除手順

1. AWSマネジメントコンソール → Kiroコンソールへアクセス
2. 「ユーザーとグループ」を選択
3. 対象ユーザーを選択 → 「プランの無効化」→「サブスクリプションを解除」
4. 「サブスクリプション」タブからキャンセル済みステータスを確認（「ユーザー」タブには表示されなくなる）

注意点

• 日割り計算なし → 月途中に解除すると残り期間分も課金される
• 即時アクセス喪失（paid featuresへのアクセスが即座になくなる）
• キャンセルは翌月初から有効

自動解除される条件

• IAM Identity Centerからユーザーを削除
• サブスクリプション済みグループからユーザーを削除
• IAM Identity Centerインスタンス削除
• Kiroプロファイル削除
• ユーザーを非アクティブ化
• AWSアカウント削除

AWS公式CLIツールs3vectors-embed-cliでAmazon S3 Vectorsへのベクトル登録・検索を試してみる

• URL: https://dev.classmethod.jp/articles/s3vectors-embed-cli/
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: AWSが公式提供するs3vectors-embed-cliを検証。通常のAWS CLIではfloat32配列を手作業で生成してから渡す必要があったが、このツールはテキストを渡すだけでBedrockが自動でベクトル化してS3 Vectorsに保存・検索できる。ワイルドカード一括処理・メタデータフィルタリングも動作確認済み。

詳細

従来のAWS CLIとの比較

• 従来: テキスト→Bedrock APIで手動ベクトル化→float32配列をJSONでput-vectorsに渡す（複数ステップ）
• s3vectors-embed-cli: テキスト文字列を渡すだけで自動ベクトル化＆保存

主なコマンド

# テキストを登録
s3vectors-embed put --vector-bucket-name {} --index-name {} --model-id amazon.titan-embed-text-v2:0 --text-value "テキスト"

# テキストで類似度検索
s3vectors-embed query --vector-bucket-name {} --index-name {} --model-id amazon.titan-embed-text-v2:0 --text-value "クエリ" --k 5

# ワイルドカード一括登録
s3vectors-embed put --text "./documents/*.txt" --filename-as-key

# メタデータフィルタ付き検索
s3vectors-embed query --text-value "クエリ" --filter '{"source": {"$eq": "google_meet_transcript"}}'

動作確認した特徴

• 登録時にソーステキストが S3VECTORS-EMBED-SRC-CONTENT メタデータとして自動保存される
• cosine距離（小さいほど近い）で結果が返る
• --output table でRichテーブル形式表示
• --max-workers（デフォルト4）・--batch-size（デフォルト500）で並列処理を調整可能

対応モデル

[アップデート] Amazon SageMaker Unified Studio が日本語を含む 12 言語の UI 表示をサポートしました

• URL: https://dev.classmethod.jp/articles/20260604-sagemaker-localization/
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: Amazon SageMaker Unified Studioが日本語を含む12言語のUI表示に対応。ブラウザ設定からの自動検出とプロファイルからの手動選択の両方に対応し、追加料金なし。ただしMLflowは両ドメインタイプで引き続き英語表示となる。

詳細

対応12言語

英語（米国）、日本語、中国語（簡体字/繁体字）、フランス語、ドイツ語、インドネシア語、イタリア語、韓国語、ポルトガル語（ブラジル）、スペイン語、トルコ語

設定方法

• 自動: ブラウザのデフォルト言語設定から自動検出
• 手動: プロファイルアイコン → Language selector → 言語選択（次回セッションにも引き継がれる）

英語表示のままとなる領域

組織展開時の注意点

• ブラウザ設定から自動検出されるため、既存の英語UI前提の社内手順書と食い違いが生じる可能性
• チーム内で表示言語が混在すると画面共有時のボタン名指示でコミュニケーションのずれが起きる
• 展開前に標準表示言語を取り決めておくことを推奨

背景

• SageMaker Unified StudioはSQL Editor・Visual ETL・サーバーレスノートブック・MLflow・Training jobs・Inference endpointsを統合した次世代IDE（2024 re:Invent発表、GA済み）
• 英語UIがネックで社内展開をためらっていたチームへの導入ハードルが下がる地味ながら裾野の広いアップデート

【非エンジニアのためのClaude/ClaudeCodeシリーズ】アウトバウンド営業に向けたリスト作成をClaudeに手伝ってもらった

• URL: https://dev.classmethod.jp/articles/sales_claude-cowork/
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: クラスメソッド西日本営業部の社員が、Claude CoworkとHubSpotを連携してアウトバウンド営業リストを作成した実例。優先度ロジックをClaude Coworkと対話的に決め、HubSpotからデータを自動取得してExcel出力するまでのステップを非エンジニア目線で解説している。

詳細

優先度ロジック

• 【高】商談実績あり・最近接触あり
• 【中】商談実績なし・接触履歴あり
• 【低】接触履歴なし
• 担当者の絞り込み：各社最大3名（最終接触日→商談数→接触回数の優先順）

実際の流れ

1. 「アウトバウンドリストを作りたい」と自然言語で伝えるとHubSpotからデータを自動取得
2. 優先度ロジックをClaude Coworkと一緒に設計
3. ExcelファイルをClaude Coworkが自動生成（業界・業種・担当者情報・優先度）
4. 追加リクエスト（「業界・業種も入れてほしい」等）はチャット一言で反映

成果

• HubSpotを個別にブラウズしていた作業がExcel1枚で完結
• 優先度順ソート＋オートフィルター（業界・都道府県で絞り込み可能）
• 商談実績のある担当者はセルハイライト表示

示唆

• 非エンジニアでもMCP連携を使えば既存CRMデータを業務特化ツールとして活用できる
• ロジック設計フェーズでの対話的な「壁打ち」がアウトプット品質に寄与

Snowflake Cortex Code Desktop のインストールから基本操作を確認してみた

• URL: https://dev.classmethod.jp/articles/snowflake-cortex-code-desktop-install-basic-usage/
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: SnowflakeのAIコーディングエージェント「Cortex Code」のデスクトップアプリ版（Preview）をWindowsにインストールし、オンボーディングから基本操作まで確認した記事。VS Code風のエディターモードとエージェントモードの2形式で提供され、SQL生成・データ探索をGUI操作で行える点がCLI版との差別点。

詳細

Cortex Codeの提供形式（2026-06-04時点）

デスクトップ版の特徴

• エージェントモード: 複数ワークスペースでエージェント並列実行・変更ファイルの差分レビュー
• エディターモード: VS Code風IDE、ファイル編集中心
• Ctrl+E でシームレスにモード切替（切替時に会話履歴保持）
• SQL Playground・エージェントブラウザ・エージェントノートブック・dbt統合・MCP対応・フック・スキルを搭載

セットアップ

• 認証: Local OAuth（推奨）/ External Browser (SSO) / Password
• ~/.snowflake/connections.toml を読み込む（既存設定を自動検出）
• Key Pair(JWT)認証は connections.toml の直接編集で対応

基本操作確認

• 自然言語でSQLを生成（スキーマ確認・集計クエリ）
• GUI操作でのDBブラウズが可能

注意点

• プレビュー段階のため仕様変更の可能性あり
• GDPR等のデータ主権要件がある組織は慎重な評価が必要

Step Functions の AgentCore 統合で IAM ロールの権限を「ハーネス」経由で AI に判定させてみた

• URL: https://dev.classmethod.jp/articles/step-functions-agentcore-optimized-integration/
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: 2026年6月3日に追加されたStep FunctionsへのAgentCore Optimized Integration機能を検証。IAMポリシーの過剰権限チェックをユースケースに、SDK呼び出し→AgentCore（claude-sonnet-4-6）判定→Choice分岐のフローをLambdaなしで構築。実装上の罠（AllowedToolsの明示指定、RuntimeSessionId最低33文字等）を詳述した。

詳細

AgentCoreハーネスの構成

• モデル: global.anthropic.claude-sonnet-4-6
• AllowedTools: [] を明示（未指定だとビルトインツールが有効になりloopが失敗する）
• MaxIterations: 1（推論のみ用途）

Step Functions実装の注意点

• Resource URI: arn:aws:states:::bedrockagentcore:invokeHarness（ハイフンなし）
• HarnessArn: arn:aws:bedrock-agentcore:...（ハイフンあり）→混同しやすい
• RuntimeSessionId は最低33文字必要（短いとバリデーションエラー）
• 実行ロールには bedrock-agentcore:InvokeHarness だけでなく bedrock-agentcore:InvokeAgentRuntime も必要
• Map内ItemProcessorに "QueryLanguage": "JSONata" を書くと SCHEMA_VALIDATION_FAILED（トップレベルのみ指定）
• ペイロードサイズ上限256 KiB

動作確認結果

• OVERPRIVILEGED（AdministratorAccess付きロール）: 2625ms、verdict + reason を正確に返した
• ACCEPTABLE（最小権限ロール）: 4598ms
• boto3では ストリーミングレスポンス、Step Functions経由ではConverse形状の集約レスポンス

セキュリティ上の注意

• IAMポリシーの Sid フィールド等にプロンプトインジェクション文字列を仕込める → 信頼できないロールを評価する場合は対策が必要
• $contains() による文字列マッチング分岐はデモ用。本番では verdict フィールドのJSONパースで判定すること

CFnの注意

• ハーネス名のパターン: ^[a-zA-Z][a-zA-Z0-9_]{0,39}$（ハイフン不可）

メモ.　パフォーマンスログを毎日集計してCsvに蓄積する｜セミナーフォローアップ

• URL: https://www.say-tech.co.jp/contents/blog/yamanxworld/2026memo064
• 日付: 2026-06-04
• Tier: Tier 2
• 要旨: 2026年5月開催の「Windows Serverパフォーマンス監視」セミナーのフォローアップ記事。データコレクターセットのテンプレートと集計スクリプトのCSV出力版を公開し、タスクスケジューラによる毎日自動集計の方法を解説。パフォーマンス収集がシステム負荷に与える影響（実測では無視できるレベル）についても言及している。

詳細

PowerShellテンプレートとスクリプト

• dcs_HostLog.xml / dcs_Hyper-VHostLog.xml: パフォーマンスカウンターを15秒間隔で収集、24時間ごとにログ切替、30日後に削除する設定
• samplescript_HostLogToCSV.ps1 / samplescript_Hyper-VHostLogToCSV.ps1: コンソールではなくCSVファイルに出力するスクリプト
• インポートコマンド: logman import -name "HostLog" -xml ".\dcs_HostLog.xml"

CSV出力の仕組み

• パフォーマンスカウンターごとに、カウンター名の *, ¥, /, スペース を _ に置換したファイル名でCSV出力
• Export-Csv で既存ファイルへ追記（-Append）、タスクスケジューラで日次実行

パフォーマンス収集の負荷

• Windowsパフォーマンスカウンターは管理・診断向けに最適化されており、通常の15～60秒間隔の主要カウンター監視（CPU・メモリ・ディスク・ネットワーク）なら負荷は無視できるレベルと筆者が実測で確認
• WMI経由（Get-CimInstance Win32_PerfFormattedData_*）は非推奨かつ処理が重い

myshがMCPサーバーになりました - AIエージェントから安全にDBを引けるツールとして

• URL: https://zenn.dev/pepabo/articles/mysh-mcp-server
• 日付: 2026-06-04
• Tier: Tier 3
• 要旨: GMOペパボのMySQL接続マネージャ「mysh」がv0.10.0でMCPサーバー対応。Claude CodeやCursorからmysh_query等のネイティブツールとしてDB操作が可能になり、MCP経由ではマスクを外す経路が存在しないためproduction/stagingのデータは必ずマスクして返す設計が特徴。

詳細

MCPサーバーとして動作する仕組み

• トランスポート: stdio（改行区切りJSON-RPC 2.0）
• ポート公開なし、ステートレス
• claude mcp add mysh -- mysh mcp で登録

提供ツール

セキュリティ設計の核心

• MCPからは add/edit/remove 相当のツールを提供しない（接続設定の改ざん防止）
• production環境の --raw 確認フローはMCP非対話的通信では到達不可能 → マスク回避の経路が存在しない
• マスタパスワード: macOS/WindowsはOSの資格情報ストア、その他は MYSH_MASTER_PASSWORD 環境変数

CLIとの使い分け

• CLIはシェル経由のため「フラグを推測される」「--rawを混ぜられる」余地があった
• MCP化により、エージェントがツールの仕様を直接把握でき、操作が構造化される