亚马逊AWS官方博客

认识我们最新的 AWS Hero – 2025 年 8 月

我们很高兴宣布最新一届 AWS Hero，他们因其卓越的贡献和技术领导能力而获得认可。这些充满激情的大侠来自不同的区域，具有不同的技术专长，在 AWS 社区内表现出卓越的专业知识和对知识共享的奉献精神。从人工智能和机器学习到无服务器架构和安全，我们的新晋大侠们展示了云创新的广度，同时培育了具有包容性和吸引力的技术社区。加入我们，欢迎这些社区领袖，他们正在帮助塑造云计算的未来，激励下一代 AWS 构建者。

Kristine Armiyants – 亚美尼亚马西斯

社区大侠 Kristine Armiyants 是一名软件工程师和云支持工程师，从金融背景过渡到技术领域，在自学软件开发之前获得了工商管理硕士学位。担任亚美尼亚 AWS 用户组的创始人和负责人超过两年半，她组织了亚美尼亚的首个 AWS Community Day，将参与人数从 320 人扩大到超过 440 人，并领导一个为该国带来国际规模活动的团队，改变了当地的科技格局。通过她的亚美尼亚语技术文章、实践讲习会和“无筛选”博客系列，她在指导新的用户组组织者和职业生涯早期的工程师的同时，让人们更容易获得云知识。她对社区建设的执着催生了来自亚美尼亚的五位新的 AWS 社区构建者，这充分证明她致力于在 AWS 社区中创造包容性的学习和成长空间。

Nadia Reyhani – 澳大利亚珀斯

机器学习大侠 Nadia Reyhani 是一位人工智能产品工程师，将 DevOps 最佳实践与机器学习系统相结合。她曾是 AWS 社区构建者，经常在 AWS 活动中介绍如何使用 Amazon SageMaker 和 Bedrock 构建可扩展的人工智能解决方案。作为数字领域的女性大使，她将技术专长与宣传相结合，在云和人工智能技术领域为代表性不足的群体创造包容性空间。

Raphael Manke – 德国卡尔斯鲁厄

DevTools 大侠 Raphael Manke 是 Dash0 的高级产品工程师，也是非官方的 AWS re:Invent 计划器的创建者，该计划器用于帮助制定活动时间表。凭借十年的 AWS 经验，他专门研究无服务器技术和可简化云开发的 DevTools。作为卡尔斯鲁厄 AWS 用户组的组织者和前 AWS 社区构建者，他通过公开演讲和与 AWS 服务团队的直接合作，积极为产品改进做出贡献。他对 AWS 社区的承诺涵盖了从领导本地用户组到向服务团队提供宝贵反馈等各个方面。

Rowan Udell – 澳大利亚布里斯班

安全大侠 Rowan Udell 是一位独立的 AWS 安全顾问，专门从事 AWS Identity and Access Management（IAM）方面的工作。十多年来，他一直通过书籍、博客文章、聚会、讲习会和会议演示分享 AWS 安全专业知识。Rowan 参与了许多 AWS 社区计划，担任 AWS 社区构建者四年，并且是澳大利亚 AWS Community Day 组织委员会的成员。Rowan 经常在 AWS 活动上发表演讲，包括悉尼 Summit 和其他社区会议，他以将复杂的安全概念转化为简单、实用且可行的解决方案帮助企业保护其 AWS 环境而闻名。

Sangwoon（Chris）Park – 韩国首尔

无服务器大侠 Sangwoon（Chris）Park 在 RECON Labs 负责开发，RECON Labs 是一家专门从事人工智能驱动的 3D 内容生成的人工智能初创企业。他曾是 AWS 社区构建者，也是“AWS 课堂”YouTube 频道的创建者，与 AWS 社区分享实用的无服务器架构知识。Chris 每月举办 AWS 课堂聚会和 AWS KRUG 无服务器小组，通过社区活动和教育内容积极[已去除[已去除推广语]语]无服务器技术。

Toshal Khawale – 印度浦那

社区大侠 Toshal Khawale 是一位经验丰富的技术领导者，在工程和 AWS 云技术领域拥有超过 22 年的专业知识，持有 12 项证明其云知识的 AWS 认证。作为 PwC 的董事总经理，Toshal 领导了许多大规模的 AWS 迁移和生成式人工智能的实施，指导组织完成云转型、数字创新和应用程序现代化计划。他曾担任 AWS 社区构建者六年，并继续担任 AWS 用户组浦那负责人，积极促进社区参与和知识共享。通过担任导师、资深演讲者和倡导者的角色，Toshal 帮助各组织最大限度地利用其 AWS 投资，同时保持在云技术趋势的最前沿。

了解详情

如果您想了解有关 AWS 大侠计划的更多信息或与您附近的大侠联系，请访问 AWS 大侠网页。

— Taylor

---

亚马逊AWS官方博客

庆祝 Amazon Aurora 10 周年!

十年前，我们宣布 Amazon Aurora 正式发布。Amazon Aurora 是一款数据库，兼具高端商业数据库的速度和可用性以及开源数据库的简洁性和成本效益。

正如 Jeff 在其发布博客文章中所描述的那样：“Amazon Aurora 可在三个可用区内和跨三个可用区复制存储，并具有仲裁写入驱动的更新模型，旨在提供高性能和 99.99% 的可用性，同时轻松高效地扩展至 64 TiB 存储空间。”

我们十多年前开始开发 Aurora 研发时，做出了一个永久改变数据库格局的根本性架构决策：将存储与计算分离。这种创新方法使 Aurora 能够以十分之一的成本，提供商业数据库级别的性能和可用性。

这也是成千上万的 AWS 客户选择 Aurora 作为其关系数据库的原因之一。

今天，我很高兴邀请您与我们一同参加 2025 年 8 月 21 日的直播活动，共同庆祝 Aurora 数据库的十年创新历程。

简要回顾过往历程

在 Aurora 的整个发展过程中，我们始终围绕四大核心创新主题：将安全置于首位、支持可扩展性以满足不断增长的工作负载、提供可预测的定价以优化成本管理，以及打造适用于全球应用程序的多区域能力。下面让我来带您了解一下 Aurora 发展历程中的关键里程碑。

我们在 2014 年 re:Invent 大会上发布了 Aurora 预览版，并于 2015 年 7 月推出其正式版。发布时，我们介绍 Aurora 是“一款全新的、经济高效的 MySQL 兼容数据库引擎”。

2016 年 6 月，我们推出了读取器端点和跨区域只读副本，随后在 10 月推出了 AWS Lambda 集成功能以及直接从 Amazon S3 加载表的功能。2017 年 6 月，我们增加了数据库克隆和导出至 Amazon S3 的功能，并在同年 10 月实现了与 PostgreSQL 的完全兼容。

创新历程仍在继续：2017 年 11 月推出无服务器预览版，并在 2018 年 8 月发布正式版。2018 年 11 月推出全球数据库，支持跨区域灾难恢复。我们推出蓝绿部署以简化数据库更新，并推出优化型只读实例以提升查询性能。

2023 年，我们为 Aurora PostgreSQL 新增了基于 pgvector 的向量功能，以支持相似度搜索，并推出 Aurora I/O 优化型实例，为 I/O 密集型应用程序提供可预测定价，最高可节省 40% 的成本。此外，我们还发布了 Aurora 与 Amazon Redshift 的零 ETL 集成，无需构建和维护复杂的提取、转换、加载（ETL）数据管道，即可在 Redshift 中对 Aurora 的 PB 级交易数据进行近实时分析和机器学习。今年，我们新增了 Aurora MySQL 与 Amazon SageMaker 的零 ETL 集成，支持在 SageMaker 的数据湖架构中近乎实时地访问您的数据，从而进行各类分析。

2024 年，我们实现了一键选择 Aurora PostgreSQL 作为 Amazon Bedrock 知识库的向量存储的功能，并推出了 Aurora PostgreSQL 无限数据库，一种无服务器水平扩缩（分片）功能。

为简化客户的扩展操作，我们在 2020 年 9 月将最大存储容量提升至 128 TiB，支持在单个实例内运行多个应用程序。上个月，我们将最大存储空间翻了一番，达到 256 TiB，这进一步简化了扩展，无需预先配置，并且即用即付定价模式，只需根据实际使用的存储空间付费。这使更多的客户能够运行不断增长的工作负载，而无需处理在管理多个实例的同时保持成本效益的复杂工作。

最近，我们在 2024 年 re:Invent 大会上宣布推出 Amazon Aurora DSQL，该产品已于 2025 年 5 月正式发布。Aurora DSQL 代表我们在分布式 SQL 数据库领域的最新创新，提供主动-主动高可用性和多区域强一致性。它是面向始终可用型应用程序的极速无服务器分布式 SQL 数据库，可轻松扩展以满足任何工作负载需求，且无需管理基础设施。

Aurora DSQL 基于我们“存储和计算分离”的初始架构原则，通过独立扩展读取、写入、计算和存储进一步推进这些原则。它提供 99.99% 的单区域可用性和 99.999% 的多区域可用性，并在所有区域端点间保持强一致性。

6 月，我们推出了 Aurora 的模型上下文协议（MCP）服务器，使您能够将人工智能代理与数据来源和服务集成。

共同庆祝创新十周年

欢迎您参加 8 月 21 日的直播活动，届时，您将听到包括 Swami Sivasubramanian、Ganapathy（G2）Krishnamoorthy、Yan Leshinsky、Grant McAlister 和 Raman Mittal 在内的 Aurora 技术领袖和创始人的分享。您将直接从云数据库存储与计算分离架构的开创者那里获得对 Aurora 架构和扩展功能的技术见解。此外，Aurora 工程师还将分享他们的愿景，并讨论他们目前正在为客户解决的复杂挑战，您可以从中窥见数据库技术的未来。

该活动还将提供展示如何实施关键特征的实用演示。您将了解如何使用 pgvector 构建 AI 驱动的应用程序、如何通过新的 Aurora DSQL 定价模型优化成本，以及如何为全球应用程序实现多区域强一致性。

互动形式包括与 Aurora 专家问答的机会，这使您可以获得针对具体技术问题的解答。此外，您还有机会获得 AWS 服务抵扣金，用于测试 Aurora 的新功能。

如果您对代理式人工智能感兴趣，关于 MCP 服务器、Strands 座席以及如何将 Strands 座席与 Aurora DSQL 集成的会议将让您受益匪浅，这些会议将演示如何在保持数据库访问控制的同时，安全地将人工智能功能与 Aurora 数据库集成。

无论您是运行任务关键型工作负载还是构建新应用程序，这些会议都将帮助您了解如何使用最新的 Aurora 特征。

立即注册以锁定席位，共同参与这场数据库创新的庆典。

期待 Aurora 的下一个创新十年！

---

亚马逊AWS官方博客

在 2025 年 Gartner 战略云平台服务魔力象限中，AWS 连续第 15 年被评为领导者

2025 年 8 月 4 日，Gartner 发布了 Gartner 战略云平台服务 (SCPS) 魔力象限。Amazon Web Services (AWS) 是持续时间最长的魔力象限领导者，这也是 Gartner 连续第 15 年将其评为领导者。

在报告中，Gartner 再次将 AWS 置于“执行能力”轴上的最高排名。我们相信，这体现了我们始终致力于为客户提供最广泛、最全面的技术能力以加速创新，同时为客户最关键的应用程序提供值得信赖的无与伦比的安全性、可靠性和性能。

以下是 2025 年战略云平台服务魔力象限的图示。

Gartner 认为 AWS 的优势在于：

最大的云社区— AWS 已构建起一个强大的全球云技术专业人士社区，为学习交流与行业互动提供了重要的机会。 受云计算启发的芯片— AWS 凭借其云计算经验成功开发出 AWS Graviton、AWS Inferentia 和 AWS Trainium 等自研硅芯片架构，这些创新实现了硬件与软件的深度集成，在提升能效表现的同时，也增强了供应链的自主可控性。 全球规模和运营执行— AWS 在全球云计算市场收入中所占的巨大份额，使其能够构建一个比本分析中其他一些提供商更庞大、更稳健的集成合作伙伴网络，从而有效助力企业成功实现云转型。

客户反馈中最常提到的是，AWS 拥有规模最大、最具活力的云技术社区，这让企业能够轻松地向全球数百万活跃用户及数万家合作伙伴提问取经。我们最新推出的社区中心 AWS Builder Center，可让用户直接对接 AWS 大侠和 AWS 社区构建者。您还可以在附近城市探索和加入 AWS 用户组和 AWS 云俱乐部。

我们还专注于通过一系列企业计划（例如 AWS 迁移加速计划）促进企业客户的数字化转型。我们使用生成式人工智能进行迁移和现代化，推出了 AWS Transform，这是首款代理式人工智能服务，旨在加快企业对 .NET、大型机和 VMware 等关键任务业务工作负载的现代化。

查阅完整的 Gartner 报告，了解更多信息。该报告详细阐述了评估方法论及标准体系，以此为依据对纳入研究的各云服务商进行综合能力评定。该报告也可以用作选择云提供商时的指南，从而助您代表客户进行创新。

— Channy

*Gartner 不为其研究出版物中描述的任何供应商、产品或服务作宣传，也不建议技术用户只选择评级最高或具有其他名号的供应商。Gartner 研究出版物包含 Gartner 研究组织的观点，这些观点不应视为事实陈述。Gartner 不对此研究做任何明示或暗示的保证，包括对任何适销性或特定用途实用性的任何保证。* *GARTNER 是 Gartner 的注册商标和服务标志，魔力象限是 Gartner, Inc. 和/或其关联公司在美国和美国境外的注册商标，在此处经许可使用。保留所有权利。*

---

亚马逊AWS官方博客

China CloudFront SSL Plugin V2：面向中国区 CloudFront 的一站式证书解决方案

在当今数字时代，网站安全至关重要。SSL 证书作为保护网站数据传输安全的重要工具，其管理和更新一直是开发运维人员关注的焦点。在 2023 年我们发布了 China CloudFront SSL Plugin 方便中国区 CloudFront 与免费 SSL 证书的集成。我们持续迭代我们的方案。现在，我们很高兴地宣布 China CloudFront SSL Plugin 的第二代版本正式发布。

全新升级，更强大的功能

China CloudFront SSL Plugin V2 带来了三大核心升级，让证书管理更简单、更安全、更高效。

1. 突破单项目限制，实现多项目统一管理，在新版本中，我们彻底重构了项目管理架构：

升级前 V1 版本：每个堆栈仅支持管理单个项目的域名集合，多项目管理需要部署多个堆栈 升级后 V2 版本：单一堆栈即可统一管理多个项目的域名集合，大幅简化运维工作

2. 全新交互体验，告别复杂操作，为提升用户体验，我们重新设计了管理界面：

升级前 V1 版本：基于 Swagger UI 构建的 API 管理页面，需要手动构造和发起 API 请求 升级后 V2 版本：直观的图形用户界面，通过简单的按钮点击即可完成所有操作，降低使用门槛

3. 安全机制升级，保障操作安全，全面增强了安全性：

升级前 V1 版本：外部 API 缺乏有效的安全校验机制 升级后 V2 版本：引入 Access Key 验证机制，所有 API 操作都需要进行身份验证，确保安全可控

在带来全新功能的同时，我们保留并强化了方案最受欢迎的特性：

✓ 成本优势

• 完全采用无服务器架构，按实际调用次数计费
• 证书更新默认每 30 天触发一次
• 仅产生极少的存储费用和日志费用

✓ 运营自动化

• 支持与 CloudFront 的无缝集成
• 证书更新后自动替换 CloudFront 中已关联的证书
• 通过 EventBridge 实现证书的自动定期更新

✓ 运维透明

• 完整的邮件通知机制，覆盖证书全生命周期
• 直观的图形化控制面板，实时掌握证书状态
• 支持多项目统一管理和监控

✓ 代码开源

• 所有代码以开源方式提供
• 支持在源代码基础上进行定制化开发
• 便于根据企业需求进行二次开发

这些升级不仅提升了用户体验，更为 China CloudFront 证书管理提供了更强大的支持。无论是单个网站还是多个项目的证书管理，V2 版本都能够从容应对。

技术架构

作为一个面向中国区 CloudFront 的证书管理方案，我们基于无服务器架构设计了完整的技术架构，通过 Amazon CloudFormation 模版实现自动化部署。

1. 核心组件：

• Let’s Encrypt：作为免费、开放、自动化的证书颁发机构，为方案提供免费 SSL 证书支持
• Certbot：作为免费的开源软件工具，实现证书的自动化获取、部署和更新
• Amazon Lambda：作为核心计算组件，负责运行证书颁发程序、前端界面以及证书管理 API
• Amazon API Gateway：提供安全的证书管理 API 接口，所有操作都需要 Access Key 验证

2. 存储与数据库：

• Amazon DynamoDB：作为无服务器数据库，专门存储项目证书颁发状态与报错信息
• Amazon S3：用于存储备份的 SSL 证书，支持证书的下载和备份管理
• IAM SSL 证书存储：专门用于存储与 CloudFront 关联的 SSL 证书，这是中国区域的特殊要求

3. 自动化与通知：

• Amazon SNS：负责发送证书颁发状态的邮件通知，确保运维人员及时获取证书状态
• Amazon EventBridge：通过定时任务触发证书更新，默认每 30 天自动更新一次

部署演示

创建管理堆栈

创建管理堆栈是部署 China CloudFront SSL Plugin V2 的第一步。通过 Amazon CloudFormation 模板，您可以一键部署包含 Lambda 函数、API Gateway、DynamoDB 等核心组件的主堆栈。在部署过程中，您需要指定堆栈名称和 Access Key 作为 API Gateway 的安全密钥，确保只有授权用户才能访问证书管理功能。整个部署过程约需 3-5 分钟，完成后您将获得证书管理前端页面的访问链接。

创建证书项目

创建证书项目是使用 China CloudFront SSL Plugin V2 的核心步骤。在图形化管理界面中，您可以轻松创建新的证书项目，为指定的域名集合申请免费的 Let’s Encrypt SSL 证书。每个项目支持多个域名（用逗号分隔），您可以设置接收通知的邮箱地址和证书自动更新间隔（推荐 30 天）。项目创建后，系统会自动部署专属的子堆栈，包含证书颁发 Lambda 函数和 EventBridge 定时规则，实现证书的自动化管理。

将自动颁发的证书附加到 CloudFront

将自动颁发的证书附加到 CloudFront 是实现 HTTPS 访问的关键步骤。证书成功颁发后，系统会自动将其上传到 IAM SSL 证书存储中，您可以在 CloudFront 控制台的分配设置中找到并选择对应的证书。在“备用域名与 SSL 证书”设置中，填入您申请证书的域名，并在自定义 SSL 证书下拉菜单中选择对应的证书即可完成绑定。一旦绑定成功，后续的证书自动更新将无缝替换 CloudFront 中的证书，无需手动干预。

更新证书项目（域名/自动更新时间）

更新证书项目功能让您可以灵活调整项目配置以适应业务变化。通过选择项目并点击“修改项目”按钮，您可以更新域名列表和调整 SSL 证书自动更新时间间隔。每次项目修改都会触发新的证书颁发，确保配置变更立即生效。系统会自动处理 CloudFront 证书的更新和旧证书的清理，整个过程对用户透明且安全可靠。

重新颁发证书/强制更新证书

重新颁发证书功能为您提供了手动控制证书更新的能力。当遇到证书颁发失败或需要立即更新证书时，您可以在证书列表中选择相应证书，点击”重新颁发”按钮手动触发证书更新流程。系统会重新执行完整的证书申请、验证、颁发和 CloudFront 更新流程，并通过邮件通知您操作结果。这个功能特别适用于故障恢复、紧急更新或测试场景，确保您的 SSL 证书始终处于最新状态。

如果您需要体验完整功能请参考我们的解决方案页面进行部署体验。

部署链接：一键部署 China CloudFront SSL Plugin V2

完整教程：China CloudFront SSL Plugin V2 完整教程

总结

China CloudFront SSL Plugin V2 通过全新的多项目管理架构、直观的图形化界面和增强的安全机制，为中国区域的 CloudFront 用户提供了更加便捷和完善的证书解决方案。

相关资源与文档

教程及部署方式

• China CloudFront SSL Plugin V2 完整教程

详细的部署和使用指南，包含完整的操作步骤和故障排查

• 一键部署 V2 版本

直接通过 CloudFormation 模板部署最新版本

开源代码仓库

• China CloudFront SSL Plugin V2

V2 版本的完整源代码，支持自定义开发和贡献

• China CloudFront SSL Plugin V1

第一代版本的源代码，用于对比和参考

• 邮件联系解决方案团队

直接联系 China CloudFront SSL Plugin 解决方案团队获取专业支持

• ICP 备案指南

中国区域网站部署必需的 ICP 备案流程

相关亚马逊云科技服务文档

• Amazon CloudFront 中国区功能差异

了解中国区 CloudFront 的特殊要求和限制

• IAM SSL 证书管理

中国区 CloudFront SSL 证书存储的官方文档

• Amazon Route 53 域名迁移

将域名解析迁移到 Route 53 的详细步骤

• ICP 备案指南

中国区域网站部署必需的 ICP 备案流程

• Amazon CloudFront 部署指南

CloudFront 部署小指南（八）- 使用中国区 CloudFront 及 SSL 插件部署免费证书

其他技术参考

• Let’s Encrypt 官方文档

了解 Let’s Encrypt 证书颁发机构的工作原理和限制

• Certbot 官方文档

Certbot 工具的详细使用说明

• Amazon Route 53 DNS 验证

Route 53 DNS 验证插件的技术文档

联系我们

• 联系亚马逊云科技的技术支持

获取官方专业的技术支持和问题解答

• 邮件联系解决方案团队

直接联系 China CloudFront SSL Plugin 解决方案团队获取专业支持

---

Amazon Lightsail 现已在亚太地区（雅加达）区域推出

发布于: 2025年8月4日

即日起，Amazon Lightsail 将在亚太地区（雅加达）区域推出。此次扩展为印度尼西亚及周边区域的客户带来了 Lightsail 的强大功能和简单性。

此次发布之后，印度尼西亚及附近国家/地区的客户现在可以享受更低的延迟和更好的应用程序性能，同时满足本地数据驻留要求。新区域允许访问 Lightsail 的功能，例如实例、托管数据库、容器、负载均衡器等，所有功能的定价都采用 Lightsail 客户喜爱的简单、可预测的定价。

Lightsail 现已在以下 AWS 区域推出：美国东部（俄亥俄州、弗吉尼亚州北部）、美国西部（俄勒冈州）、加拿大（中部）、欧洲地区（法兰克福、爱尔兰、伦敦、巴黎、斯德哥尔摩）、亚太地区（雅加达、孟买、首尔、新加坡、悉尼、东京）。要了解有关 Lightsail 的区域和可用区的更多信息，请参阅文档。

您可以通过 Lightsail 控制台（从 AWS 管理控制台访问）、AWS 命令行界面 (CLI) 和 AWS SDK 使用此区域。

---

Amazon CloudWatch 推出组织范围的 VPC 流日志启用

发布于: 2025年8月4日

Amazon CloudWatch 现在允许客户在其 AWS 组织中将 Amazon Virtual Private Cloud (VPC) 流日志自动启用到 CloudWatch 日志。客户可以在 CloudWatch Telemetry Config 中创建启用规则，这些规则可自动为符合规则范围的现有和新创建的 VPC 创建流日志，从而确保一致的监控覆盖范围。

在今天的发布之后，客户可以根据资源标签确定适用于整个组织、特定账户或特定资源的规则，以标准化 VPC 流日志的配置。例如，中央 DevOps 团队可以创建启用规则，以自动为带有特定标签（例如 env:production）的 VPC 将流日志打开到 CloudWatch 日志，并帮助保持对网络流量模式的完全可见性。启用规则使用 AWS Config 服务关联记录器来发现符合规则标准的资源，并自动允许它们摄取日志。

CloudWatch 的遥测自动启用功能现已在以下 AWS 商业区域推出：美国东部（俄亥俄州）、美国东部（弗吉尼亚州北部）、美国西部（北加利福尼亚）、美国西部（俄勒冈州）、亚太地区（孟买）、亚太地区（大阪）、亚太地区（首尔）、亚太地区（新加坡）、亚太地区（悉尼）、亚太地区（东京）、加拿大（中部）、欧洲地区（法兰克福）、欧洲地区（爱尔兰）、欧洲地区（伦敦）、欧洲地区（巴黎）、欧洲地区（斯德哥尔摩）和南美洲（圣保罗）。

根据 AWS Config 定价，对于使用启用规则的资源类型的配置项目，客户需要支付费用。根据 CloudWatch 定价，VPC 流日志的摄取将按公开日志计费。要了解有关组织范围的 VPC 流日志启用的更多信息，请访问 Amazon CloudWatch 文档。

---

适用于 Visual Studio Code 的 Amazon Q 开发者版扩展（版本 1.84）的安全更新

Security Update for Amazon Q Developer Extension for Visual Studio Code (Version #1.84)

Scope:** AWS **Content Type:** Important (requires attention) **Publication Date:** 2025/07/23 6:00 PM PDT **Updated Date**: 2025/07/25 6:00 PM PDT **Description:

Amazon Q Developer for Visual Studio Code (VS Code) Extension is a development tool that integrates Amazon Q’s AI-powered coding assistance directly into the VS Code integrated development environment (IDE).

AWS is aware of and has addressed an issue in the Amazon Q Developer for VS Code Extension, which is assigned to CVE-[已去除电话].

In the course of our investigation of AWS-2025-016, we determined that Amazon Q Developer for VS Code Extension had an inappropriately scoped GitHub token in their CodeBuild configuration. With that access token, the threat actor was able to commit malicious code into the extension’s open-source repository that was automatically included in a release. After we identified this, we immediately revoked and replaced the credentials, removed the malicious code from the code base, and subsequently released Amazon Q Developer for VS Code Extension version 1.85.0.

AWS Security has inspected the code and determined the malicious code was distributed with the extension but was unsuccessful in executing due to a syntax error. This prevented the malicious code from making changes to any services or customer environments.

We will update this bulletin if we have additional information to share.

Impacted versions:

Amazon Q Developer for Visual Studio Code Extension (version 1.84.0)

Resolution:

AWS has taken all necessary mitigation steps to secure AWS systems and has released Amazon Q Developer for VS Code Extension version 1.85.0. This includes removing 1.84.0 from distribution channels so that no further customers can install it. While the malicious code cannot execute, it is still present in existing installations of 1.84.0. As such, all installations of 1.84.0 should be removed from use and customers should update to 1.85.0, including any forked or derivative copies.

To update your Amazon Q Developer for VS Code Extension:

• Open Visual Studio Code
• Navigate to Extensions panel
• Locate Amazon Q Developer
• Click Update button

Please refer to the following hash for version 1.84.0:

• sha256:47f7840ecab6312d2733e1274c[已去除电话]c70f2037fb2f1e[已去除电话]b0464

References:

Please email [已去除邮箱] with any security questions or concerns.

---

AWS-2025-014

Scope: AWS

Content Type: Important (requires attention)

Publication Date:** 2025/07/23 8:30 AM PDT **Description:

AWS Client VPN is a managed client-based VPN service that enables secure access to AWS and on-premises resources. The AWS Client VPN client software runs on end-user devices, supporting Windows, macOS, and Linux and provides the ability for end users to establish a secure tunnel to the AWS Client VPN Service.

We identified CVE-[已去除电话], an issue in AWS Client VPN. During the AWS Client VPN client installation on Windows devices, the install process references the C:\usr\local\windows-x86_64-openssl-localbuild\ssl directory location to fetch the OpenSSL configuration file. As a result, a non-admin user could place arbitrary code in the configuration file. If an admin user starts the AWS Client VPN client installation process, that code could be executed with root-level privileges. This issue does not affect Linux or Mac devices.

Affected version: 4.1.0, 5.0.0, 5.0.1, 5.0.2, 5.1.0, 5.2.0, 5.2.1

Resolution:

This issue has been addressed in AWS Client VPN Client version 5.2.2. We recommend users discontinue any new installations of AWS Client VPN on Windows prior to version 5.2.2.

Workaround:

N/A

References:** **Acknowledgement:

We would like to thank Zero Day Initiative for collaborating on this issue through the coordinated vulnerability disclosure process.

Please email [已去除邮箱] with any security questions or concerns.

---

Amazon Bedrock 知识库现在允许您配置防护机制

发布于: May 17, 2024

Amazon Bedrock 知识库 (KB) 可将基础模型 (FM) 安全地连接到公司内部数据来源，用于检索增强生成 (RAG)，以便提供更相关且更准确的响应。我们很高兴地宣布，适合于 Amazon Bedrock 的防护机制已集成到知识库中。防护机制允许您检测根据 RAG 应用程序要求和负责任的人工智能策略自定义的安全措施，从而提供更好的最终用户体验。

防护机制提供了一套全面的策略，以保护您的用户免受不必要的响应和与生成式人工智能应用程序的交互。首先，您可以自定义一组被拒绝的话题，以避免出现在应用程序的上下文中。其次，您可以按预构建的有害类别筛选内容，例如仇恨、侮辱、性、暴力、不当行为和提示性攻击。第三，您可以定义一组应用程序中屏蔽的令人反感和不恰当的词语。最后，客户可以筛除包含敏感信息（例如个人身份信息）的用户输入，或根据应用场景编辑模型响应中的机密信息。防护机制可以应用于发送到模型的输入以及基础模型生成的内容。

知识库中的此功能现已在亚太地区（新加坡）、亚太地区（悉尼）、亚太地区（东京）、欧洲地区（法兰克福）、美国东部（弗吉尼亚州北部）、美国西部（俄勒冈州）区域推出。要了解更多信息，请参阅 Amazon Bedrock 知识库文档。要开始使用，请访问 Amazon Bedrock 控制台或使用 RetrieveAndGenerate API。

---

Amazon Managed Service for Prometheus adds support resource policies

Amazon Managed Service for Prometheus, a fully managed Prometheus-compatible monitoring service, now supports resource-based policies, making it easier to build applications that work across accounts. With resource-based policies, you can specify which Identity and Access Management (IAM) principals have access to ingest or query your Amazon Managed Service for Prometheus workspace.

To allow cross-account ingestion into an Amazon Managed Service for Prometheus workspace or query the metrics using PromQL from a different account, customers so far had to assume an IAM role in the workspace owner account. With this launch, you now can attach a resource-based policy to an Amazon Managed Service for Prometheus workspace and allow-list non-workspace owner to perform any actions using Prometheus-compatible APIs.

This feature is now available in all regions where Amazon Managed Service for Prometheus is generally available.

To learn more about Amazon Managed Service for Prometheus collector, visit the user guide or product page.

---