--- title: "Amazon CodeGuruとは？Reviewer新規停止・Security終了後の現状と代替サービスの選び方" url: "https://www.issoh.co.jp/tech/details/2869/" published: 2024-07-01 updated: 2026-08-06 categories: ["AWS"] publisher: "株式会社一創" --- # Amazon CodeGuruとは？Reviewer新規停止・Security終了後の現状と代替サービスの選び方 Amazon CodeGuruは、コードレビューの自動化とアプリケーションのプロファイリングを担ってきたAWSのサービス群です。ただし2026年8月時点では、名前だけを見て導入を検討すると判断を誤ります。CodeGuru Reviewerは2025年11月7日以降、新しいリポジトリ関連付けを作成できなくなり、CodeGuru Securityは2025年11月20日にサポートを終了しました。一方でCodeGuru Profilerは提供が続いています。この記事では3サービスの現在地を切り分けたうえで、既存ユーザーが使える範囲、料金の実額、そしてこれから静的解析を導入する場合の移行先までを公式ドキュメントの記述に基づいて整理します。 ## まとめ CodeGuruという名前で語られる3つのサービスは、いまや状態がばらばらです。Reviewerは新規のリポジトリ関連付けが作れないメンテナンス状態、Securityはサポート終了済み、Profilerのみ通常提供が続いています。したがって「CodeGuruを新規導入する」という選択肢はコードレビュー用途では成立せず、AWS自身がAmazon Q DeveloperとAmazon Inspectorを代替として案内しています。既存の関連付けを持つアカウントはReviewerを引き続き使えますが、ユーザーガイドの更新履歴が2022年8月を最後に途絶えていた事実を踏まえると、新機能を待つ前提の運用設計は避けるべきです。以下、サービスごとの制約と料金、移行時に何が変わるかを順に見ていきます。 ## CodeGuru 3サービスの現在地 まず状態の切り分けから始めます。同じCodeGuruブランドでも、新規に使えるかどうかが3サービスで異なります。 | サービス | 現在の状態 | 基準日 | 新規利用 | | ----------------- | ---------------- | ----------- | ---- | | CodeGuru Reviewer | メンテナンス（新規関連付け不可） | 2025年11月7日 | 不可 | | CodeGuru Security | サポート終了 | 2025年11月20日 | 不可 | | CodeGuru Profiler | 提供継続 | ― | 可 | Reviewerについては、2025年11月7日以降は新しいリポジトリ関連付けを作成できず、既存の関連付けでのみ利用できると公式ドキュメントが明記しています（原文は英語）。サービスが即座に停止するわけではなく、新規顧客の入口だけが閉じた状態です。CodeGuru Securityについては、ユーザーガイドの「End of support for CodeGuru Security」が2025年11月20日でのサポート終了を告知し、それ以降はコンソール・サービスリソース・ドキュメントのいずれにもアクセスできないとしていました。過去のスキャン結果や検出結果を他のコード解析サービスへ引き継ぐ手段は提供されず、2026年8月時点ではCodeGuru Security関連の公式ドキュメント自体が削除されています。Profilerは2025年10月のAWSサービス可用性更新の対象に入っておらず、ドキュメントにも終了や新規停止の告知はありません。 同じ「新規受付だけを閉じる」パターンはAWSの他サービスでも起きており、判断の型としては[Amazon Kendraとは？新規受付終了と移行先の判断【2026年版】](/tech/details/15919/)と同じ読み方が使えます。 ## CodeGuru Reviewerの検出内容と適用範囲 既存の関連付けを持つアカウントでは引き続き動作するため、いま何が検出できるツールなのかを正確に把握しておく価値はあります。 ### 構文ミスを外して資源リークとシークレットを狙う設計 CodeGuru Reviewerは構文上の誤りを指摘しません。公式ドキュメントは、構文ミスは比較的見つけやすいためフラグを立てず、代わりにリソースリーク防止やセキュリティ解析といった、より複雑な問題を特定すると説明しています。つまりコンパイラやリンターの代わりではなく、その上に重ねる層です。AWS Secrets Managerと連携したシークレット検出も備え、コード中の保護されていない認証情報を見つけます。検出ルールの一覧は旧CodeGuru Reviewer Detector Libraryが担っていましたが、現在はAmazon Q Detector Libraryに改称され、JavaとPythonに加えてJavaScript、TypeScript、C#、Go、Ruby、C、C++、PHP、Kotlin、Scala、ShellとCloudFormation・Terraformまで対象を広げています。ルール資産そのものはCodeGuruからAmazon Qへ引き継がれた形です。この層がテストや動的解析と何を分担するかは、[静的解析と動的テストの違いとは｜検出できるバグ・代表ツール・使い分けを比較](/tech/details/5254/)で整理しています。 ### 対応言語とリポジトリの制約 対象言語はJavaとPythonの2つだけで、この制約が導入可否をそのまま決めます。TypeScriptやGoが主力のリポジトリでは、そもそも選択肢に入りません。接続先はAWS CodeCommit、Bitbucket、GitHub、GitHub Enterprise Cloud、GitHub Enterprise Server、Amazon S3の6種で、S3リポジトリだけはGitHub Actions経由でのみサポートされます。レビューにはプルリクエスト単位の増分レビューと、ブランチ全体を対象とするフルリポジトリ解析の2種類があり、結果はコンソールとプルリクエストの両方で確認できます。 ### aws-codeguru-reviewer.ymlによる除外と課金の関係 解析対象から特定のファイルやディレクトリを外すには、リポジトリのルートに`aws-codeguru-reviewer.yml`を置きます。ファイル名は固定で、拡張子は`.yml`でなければ認識されません。`.yaml`にした場合、CodeGuru Reviewerはファイルの存在自体を検知せず、エラーメッセージすら返しません。 ``` version: 1.0 excludeFiles: - 'src/some-package/**' - 'tst/**' - 'src/some-*/**/*.json' ``` 制限は最大ファイルサイズ100KB、glob式1つあたり100文字、glob式の総数100個です。除外したファイルの行数は課金対象になりません。テストコードや生成コードを外せば、検出ノイズと請求額を同時に下げられます。なおYAMLの構文誤りがあった場合は解析自体が実行されず、その試行分の課金も発生しません。 ## CodeGuru Profilerの導入手順 Profilerは実行中のアプリケーションからランタイムの性能データを収集し、CPU時間を消費している箇所を特定するサービスです。対応はJVM系言語全般とPython 3.6以降で、ヒープ使用量の推移を見るヒープサマリー可視化だけはJava専用です。 ### プロファイリンググループとIAM権限 最初にプロファイリンググループを作成します。これは分析単位で、複数のマイクロサービスを1つのグループにまとめれば横断的に性能問題を見られます。作成時に選ぶコンピューティングプラットフォームは、Lambda上で動くなら「AWS Lambda」、EC2やオンプレミスなら「Other」です。次にエージェントがデータを書き込む権限を与えます。マネージドポリシー`arn:aws:iam::aws:policy/AmazonCodeGuruProfilerAgentAccess`を付与するか、`codeguru-profiler:ConfigureAgent`と`codeguru-profiler:PostAgentProfile`の2アクションを対象のプロファイリンググループARNに限定して許可します。Lambdaで使う場合は関数の実行ロールに付けます。 ### エージェント起動とヒープサマリーの有効化 JVMアプリケーションでの起動方法は2通りあります。再コンパイルせずに済ませたいなら`-javaagent`オプション、プロファイリング開始のタイミングを制御したいならコードからの起動です。ヒープサマリーを併用する場合、Javaエージェントは1.2.6以上が必要です。 ``` -javaagent:/path/to/codeguru-profiler-java-agent-standalone-1.2.6.jar="profilingGroupName:myProfilingGroup,heapSummaryEnabled:true" ``` コードから起動する場合は`Profiler.builder()`にプロファイリンググループ名を渡し、`withHeapSummary(true)`を付けてから`build().start()`を呼びます。環境変数`AWS_CODEGURU_PROFILER_HEAP_SUMMARY_ENABLED`をtrueにする方法でも同じ結果になります。Lambdaの場合はコード変更ではなく、Lambdaコンソールからプロファイリングを有効化します。 ## ReviewerとProfilerの料金 課金単位が両者でまったく違うため、コスト試算は別立てで行う必要があります。 | 対象 | 無料枠 | 従量課金 | | ---------------------------- | ------------ | ----------------- | | Reviewer 標準 | 90日・最大10万行 | 最初の10万行 $10／月 | | Reviewer 追加分 | ― | 追加10万行ごと $30／月 | | Reviewer フルスキャン | リポジトリごと月2回まで | 3回目以降 10万行あたり $10 | | Profiler EC2・ECS・EKS・Fargate | 90日 | $0.005／サンプリング時間 | | Profiler Lambda | 90日＋500時間 | $0.005／サンプリング時間 | Reviewerの無料枠は、オンボードしたリポジトリのコード10万行までを対象に90日間だけ続きます。月額料金にはオンボード済みリポジトリごとに月2回までのフルリポジトリスキャンが含まれ、それを超えた回数分だけが10万行あたり$10で追加課金されます。Profilerの従量課金には上限があり、1プロファイリンググループあたり月36,000サンプリング時間を超えた分には追加料金がかかりません。Lambdaの500サンプリング時間の無料枠はプロファイリンググループ単位ではなく支払いアカウント単位で、90日間の無料利用枠とは別建てです。Reviewerの請求は解析した行数で決まるため、前述の除外設定がそのままコスト削減になります。 ## 新規停止後に選ぶべき代替サービスの判断基準 AWSは可用性変更の告知ページで、コード解析機能は他のサービスからも利用できるとして2つを名指ししています。 ### Amazon Q Developerのコードレビュー：検出6種と対応言語 Amazon Q Developerのコードレビューは、生成AIとルールベースの自動推論の両方で動きます。検出対象はSAST（ソースコードの脆弱性）、シークレット検出、IaCの設定不備、コード品質、デプロイリスク、そしてSCA（サードパーティ依存の脆弱性）の6種類です。CodeGuru Reviewerの守備範囲を包含したうえで、依存関係とインフラ定義まで広げています。 | 言語・形式 | 対応バージョン | | -------------- | ----------------- | | Java | 17以前 | | JavaScript | ECMAScript 2021以前 | | Python | 3.11以前 | | C#・TypeScript | 全バージョン | | Ruby | 2.7 と 3.2 | | Go | 1.18 | | C・C++ | C11以前・C++17以前 | | PHP | 8.2以前 | | Kotlin・Scala | 2.0.0以前・3.2.2以前 | | JSX | React 17以前 | | CloudFormation | 2010-09-09 | | Terraform | 1.6.2以前 | | AWS CDK | TypeScript・Python | JavaとPythonに限られていたCodeGuru Reviewerとの差は、この対応範囲が最も大きい部分です。ただしRubyが2.7と3.2の2バージョン限定、Goが1.18のみといった具合に、言語名だけでは判断できない限定が随所にあります。導入前に自プロジェクトのバージョンを突き合わせてください。 実行環境は3経路あります。IDEでの自動レビューは入力200KB・ソースコード200KBまで、ファイルやプロジェクト単位のレビューは入力500MB・ソースコード50MBまでという上限があります。GitHub連携はプレビュー提供で、プルリクエストの作成時と再オープン時に自動レビューが走り、コメントに`/q review`と書けば任意のタイミングで再実行できます。既存のプルリクエストへの後続コミットでは自動レビューが走らない仕様なので、CIゲートとして使うなら明示的なコマンド実行かラベル運用を組み合わせてください。GitLabを使っている場合はGitLab Duo with Amazon Q経由で同じレビューを利用できます。プロジェクト独自のコーディング規約は`.amazonq/rules`配下のMarkdownで与えます。料金は無料枠に加えてPro $19／ユーザー／月です。機能全体は[Amazon Q Developerの主要機能と特徴：開発支援の新しい形](/tech/details/4572/)で解説しています。 ### Amazon Inspectorのコードセキュリティ：組織横断の継続スキャン もう一方のAmazon Inspectorは、GitHubとGitLabのコードリポジトリを自動的に検出し、ソフトウェアの脆弱性と意図しないネットワーク露出をスキャンします。開発者が手元でレビューを回すQ Developerに対し、Inspectorは組織のリポジトリ全体を継続的に監視する運用に向きます。両者は排他ではなく、開発時のレビューと組織横断の可視化という役割分担で併用できます。判断材料は[Amazon Inspectorとは？対応スキャンと料金・Classic終了後の導入判断](/tech/details/15894/)にまとめています。ツールの分類そのものを整理したい場合は[SASTとは？DAST・SCAとの違いとCI/CDへの組み込み・導入判断を実装視点で解説](/tech/details/15880/)が出発点になります。 ### CodeGuruを前提に設計してはいけない場面 既存の関連付けが残っているアカウントであっても、これから組む仕組みの中核にCodeGuru Reviewerを据えるのは避けるべきです。理由は新規停止そのものよりも、その手前の停滞にあります。ユーザーガイドの更新履歴を見ると、最後の機能追加は2022年5月2日の推奨事項の抑制機能で、その後は同年8月23日の記述明確化を最後に更新が途絶え、次の記載は2025年10月7日の「新規の関連付けができなくなる」という告知です。3年以上にわたって新しい検出機能が入っていない静的解析ツールを、新規プロジェクトの品質ゲートに据える判断は正当化しにくいはずです。具体的には、リポジトリを新設する場合（そもそも関連付けを作れません）、Java・Python以外の言語を含む場合、IaCや依存関係の脆弱性まで見たい場合の3つは、最初からQ DeveloperかInspectorで組んでください。逆に、既存の関連付けで運用が回っていて言語もJavaとPythonに閉じているなら、移行を急ぐ必要はありません。既存の関連付けは維持されるので、次の大きなリポジトリ再編のタイミングに合わせて移せば十分です。 ## よくある質問 ### Amazon CodeGuruは廃止されたのですか？ 3サービスで扱いが異なります。CodeGuru Securityは2025年11月20日にサポートが終了しました。CodeGuru Reviewerは廃止ではなくメンテナンス扱いで、2025年11月7日以降は新しいリポジトリ関連付けを作成できませんが、既存の関連付けでは引き続き利用できます。CodeGuru Profilerは通常どおり提供が続いています。 ### CodeGuru Reviewerの対応言語は何ですか？ JavaとPythonの2言語です。接続できるリポジトリはAWS CodeCommit、Bitbucket、GitHub、GitHub Enterprise Cloud、GitHub Enterprise Server、Amazon S3で、S3はGitHub Actions経由でのみサポートされます。より多くの言語を対象にしたい場合はAmazon Q Developerのコードレビューを使います。 ### CodeGuru Profilerも終了しますか？ 2026年8月時点で終了は告知されていません。2025年10月に公表されたAWSサービス可用性更新の対象サービス一覧にCodeGuru Profilerは含まれておらず、公式ドキュメントにも終了や新規停止の注記はありません。2026年8月時点で新規作成を制限する告知は出ていません。 ### CodeGuru Securityの検出結果は他サービスへ移行できますか？ できません。AWSはサポート終了の告知で、既存のスキャン結果や検出結果を他のAWSコードレビューサービスへ移行することはできないと明示していました。終了後はコンソールもサービスリソースもドキュメントも参照できなくなるため、必要な記録は終了前に各自で書き出す必要がありました。 ### CodeGuru ReviewerからAmazon Q Developerへ移すと何が変わりますか？ 実行場所と検出範囲が変わります。Reviewerはリポジトリに関連付けてプルリクエストを解析する常駐型でしたが、Q DeveloperはIDEでの対話が主経路です。GitHub連携はプレビュー提供で、プルリクエストの作成時と再オープン時に自動レビューが走り、`/q review`で任意に再実行します。検出範囲はSASTに加えてシークレット、IaC、SCA、デプロイリスクまで広がります。一方で、CodeGuru Reviewerが持っていた検出ルール自体はAmazon Q Detector Libraryへ引き継がれているため、指摘の傾向が大きく変わるわけではありません。 ## 関連記事 - [Amazon Q Developerの主要機能と特徴：開発支援の新しい形](/tech/details/4572/) - [Amazon Inspectorとは？対応スキャンと料金・Classic終了後の導入判断](/tech/details/15894/) - [SASTとは？DAST・SCAとの違いとCI/CDへの組み込み・導入判断を実装視点で解説](/tech/details/15880/) - [Amazon Kendraとは？新規受付終了と移行先の判断【2026年版】](/tech/details/15919/) - [静的解析と動的テストの違いとは｜検出できるバグ・代表ツール・使い分けを比較](/tech/details/5254/) --- 出典: [Amazon CodeGuruとは？Reviewer新規停止・Security終了後の現状と代替サービスの選び方]()（株式会社一創）