公開2024.07.01更新2026.11.01 AWS

Amazon CodeGuruの現状｜Reviewer新規停止・Security終了と代替の選び方

Amazon CodeGuruは、コードレビューの自動化（Reviewer）、セキュリティスキャン（Security）、実行中アプリケーションの性能分析（Profiler）を担ってきたAWSのサービス群です。2026年11月時点で、新しく使い始められるのはProfilerだけです。Reviewerは2025年11月7日に新規のリポジトリ関連付けを止め、Securityは同年11月20日にサポートを終えました。さらに、AWSがReviewerの代替として挙げたAmazon Q Developerは、IDEプラグイン・有償サブスクリプションとGitHubアプリが2027年にサポート終了予定です。AWSマネジメントコンソールやチャットアプリなどでの提供は継続します。この記事では3サービスの状態を切り分け、既存ユーザーが使える範囲と料金、そしてQ Developerの終了まで織り込んだ代替の選び方を、AWSの公式ドキュメントと料金データに基づいて整理します。

まとめ：CodeGuruの新規利用可否と代替サービスの選定

コードレビュー用途でCodeGuruを新規導入する道はもうありません。Reviewerは既存の関連付けだけが動くメンテナンス状態、Securityは終了済み、Profilerだけが通常提供です。料金はReviewerが最初の10万行で月10ドル、Profilerが1サンプリング時間あたり0.005ドルで、Profilerは1プロファイリンググループあたり月180ドルで頭打ちになります。

代替を選ぶときに外せないのは、AWSが名指しした2つのうちAmazon Q Developerが終了日程に入っている点です。IDEプラグインは2027年4月30日、GitHub連携アプリは2027年1月30日にサポートを終え、GitHubアプリの新規インストールは2026年11月18日に止まります。いま組むなら、リポジトリの継続スキャンと重大度の高い指摘のPRコメントはAmazon Inspector Code Securityに任せ、組織固有の要件に沿ったセキュリティレビューが要るときだけAWS Continuumに組み込まれたAWS Security Agentのコードレビュー（プレビュー）か他社のツールを足す組み合わせが現実的です。既存のReviewerがJavaとPythonだけのリポジトリで回っているなら、急いで外す理由はありません。

CodeGuru 3サービスの提供状況（2026年11月時点）

同じCodeGuruという名前でも、3サービスで状態がまったく違います。

サービス	状態	基準日	新規利用
CodeGuru Reviewer	メンテナンス	2025年11月7日	不可
CodeGuru Security	サポート終了	2025年11月20日	不可
CodeGuru Profiler	提供継続	―	可

Reviewerについては、AWSの可用性変更ページが「2025年11月7日以降は新しいリポジトリ関連付けを作成できず、既存の関連付けでのみ利用できる」と明記しています（原文は英語）。サービスそのものの終了日は、2026年11月時点で公式ドキュメントに書かれていません。新規の入口だけが閉じた状態です。

CodeGuru Securityは2025年11月20日にサポートを終えました。AWS CLIのコマンドリファレンスには今も、2025年11月20日以降はコンソール、サービスリソース、ドキュメントにアクセスできなくなるという注記が残っています。ユーザーガイド側の終了告知ページは公開されておらず、過去のスキャン結果もサービスからは取り出せません。

Profilerは2025年10月のAWSサービス可用性更新の対象に含まれず、ユーザーガイドにも終了や新規停止の注記はありません。ただしProfilerの更新履歴では、最後の機能追加が2022年2月16日のAmazon DevOps Guru連携です。それ以降、この履歴に機能追加の記載はありません。新規受付だけを閉じるAWSの進め方は他のサービスでも見られ、Amazon Kendraとは？新規受付終了と移行先BMKBの判断をboto3コード付きで解説【2026年版】と同じ読み方が使えます。

CodeGuru Reviewerで今できること（既存の関連付けがある場合）

既存の関連付けを持つアカウントでは今もレビューが動きます。何を検出し、何を検出しないツールなのかを押さえておくと、移行の範囲を決めやすくなります。

検出対象：資源リークとセキュリティ（構文エラーは対象外）

Reviewerは構文上の誤りを指摘しません。公式ドキュメントは、構文ミスは見つけやすいためフラグを立てず、リソースリークやセキュリティ解析といった複雑な問題を狙うと説明しています。コンパイラやリンターの代わりではなく、その上に重ねる層です。AWS Secrets Managerと連携し、コード中の保護されていない認証情報も検出します。検出ルールの一覧だった旧CodeGuru Reviewer Detector LibraryはAmazon Q Detector Libraryに改称され、ルール資産はQ Developerのコードレビューに引き継がれました。静的解析がテストや動的解析と何を分担するかは、静的テストと動的テストの違い｜静的解析・動的解析で見つかるバグを同じコードで比較で扱っています。

対応言語はJavaとPython、接続先は6種類

対象言語はJavaとPythonです。ただし、両言語が混在するリポジトリではファイル数が多い言語について推奨事項を生成し、同数の場合はJavaだけが対象になります。TypeScriptやGoが主力のリポジトリでは、既存の関連付けがあっても大半のコードが解析されません。接続先はAWS CodeCommit、Bitbucket、GitHub、GitHub Enterprise Cloud、GitHub Enterprise Server、Amazon S3の6種で、S3だけはGitHub Actions経由でのみ使えます。レビューはプルリクエスト単位の増分レビューと、ブランチ全体のフルリポジトリ解析の2種類です。

aws-codeguru-reviewer.ymlによる解析対象の除外

特定のファイルやディレクトリを解析から外すには、リポジトリのルートにaws-codeguru-reviewer.ymlを置きます。拡張子は.yml固定で、.yamlにするとファイル自体が認識されず、エラーも出ません。

version: 1.0

excludeFiles:
  - 'src/some-package/**'
  - 'tst/**'
  - 'src/some-*/**/*.json'

ファイルサイズは最大100KB、glob式は1つ100文字・合計100個までです。除外したファイルの行数は課金対象から外れるので、テストコードや生成コードを外すと、それらへの指摘を減らせます。請求額が下がるかは、除外によって課金対象行数の料金区分が変わるかなどの条件によります。YAMLの書式が壊れているときは解析が実行されず、その回の課金も発生しません。

CodeGuru Profilerを導入する手順

Profilerは実行中のアプリケーションからCPU時間の使われ方を集め、重い処理の箇所を示すサービスです。対応はJVM系言語全般とPython 3.6以降で、ヒープ使用量の推移を見るヒープサマリーだけはJVM専用です。

プロファイリンググループの作成とIAM権限の設定

最初にプロファイリンググループ（分析の単位）を作ります。作成時に選ぶコンピューティングプラットフォームは、Lambdaで動くなら「AWS Lambda」、EC2やコンテナ、オンプレミスなら「Other」です。エージェントに書き込み権限を与えるには、マネージドポリシーarn:aws:iam::aws:policy/AmazonCodeGuruProfilerAgentAccessを付けるか、codeguru-profiler:ConfigureAgentとcodeguru-profiler:PostAgentProfileの2アクションを対象グループのARNに絞って許可します。Lambdaでは関数の実行ロールに付けます。

Javaエージェントの起動とヒープサマリーの有効化

JVMアプリケーションでは、再コンパイル不要の-javaagentオプションか、コードからの起動のどちらかを選びます。ヒープサマリーを集めるにはJavaエージェント1.2.6以上が必要です。ただし、AWSはアプリケーションのレイテンシーが増える可能性から、本番環境でのヒープサマリー収集を推奨していません。以下は検証環境で有効化する例です。

実行前に公式配布のスタンドアロンエージェントJARを取得し、アプリケーションから読み取れる場所に保存します。以下のコマンドのエージェントパス、myProfilingGroup、MyApplication.jarは実際の値に置き換え、送信先リージョンとAWS認証情報も設定してください。

java -javaagent:/path/to/codeguru-profiler-java-agent-standalone-1.2.6.jar="profilingGroupName:myProfilingGroup,heapSummaryEnabled:true" -jar MyApplication.jar

コードから起動する場合はProfiler.builder()にグループ名を渡し、withHeapSummary(true)を付けてbuild().start()を呼びます。環境変数AWS_CODEGURU_PROFILER_HEAP_SUMMARY_ENABLEDをtrueにしても同じです。公式ドキュメントの例は1.2.6ですが、Maven Centralのcodeguru-profiler-java-agentの公開メタデータでは、2026年11月1日時点の最新版は1.2.7です。Python版エージェントはPyPIのcodeguru-profiler-agentで、最新は2025年12月公開の1.2.6です。Lambdaコンソールからの有効化手順は、公式ガイドで指定されたランタイムに適用できます。それ以外はJavaまたはPython向けの個別統合手順を確認してください。

CodeGuruの料金：Reviewerは行数、Profilerはサンプリング時間

課金単位が両者で違うため、試算は別々に行います。数値はCodeGuruの料金ページの記載です。

対象	無料枠	従量課金
Reviewer 最初の10万行	90日・10万行まで	月10ドル
Reviewer 追加分	―	10万行ごとに月30ドル
Reviewer フルスキャン	リポジトリごと月2回	3回目から10万行あたり10ドル
Profiler EC2・ECS・EKS・Fargate	90日	0.005ドル／サンプリング時間
Profiler Lambda	90日＋500時間	0.005ドル／サンプリング時間

Reviewerは45万行なら、最初の10万行10ドルに、残り35万行を40万行に切り上げた30ドル×4を足して月130ドルです。月額にはオンボード済みリポジトリごとに月2回までのフルスキャンが含まれます。Profilerの課金は1プロファイリンググループあたり月36,000サンプリング時間で止まり、それを超えた分は無料です。公式の例では、EC2 50台で動く1アプリを1か月プロファイルすると36,000時間で180ドルになり、これがグループあたりの上限額になります。Lambdaの500時間の無料枠は支払いアカウント単位で、90日の無料期間とは別に付きます。

Reviewerの代替を選ぶ：AWSが挙げた2サービスのその後

Reviewerの可用性変更ページは、代替としてAmazon Q DeveloperのコードレビューとAmazon Inspectorのコードスキャンを挙げています。ただ、この案内が書かれた2025年10月以降に状況が変わりました。

Amazon Q Developerのコードレビューは2027年に終了

Q DeveloperのコードレビューはSAST、シークレット検出、依存関係の脆弱性（SCA）、コード品質の問題を検出し、旧CodeGuruの検出ルールも引き継いでいます。機能だけ見れば最も近い後継です。しかしAWSはQ Developerの終了告知で、2026年5月15日に新規サインアップを止め、IDEプラグインと有償サブスクリプションを2027年4月30日に終了すると発表しました。既存のProサブスクリプションにユーザーを足すことは今もできます。

Q Developerの経路	新規受付の停止	サポート終了
IDEプラグイン・有償サブスク	2026年5月15日	2027年4月30日
Amazon Q Developer for GitHub	2026年11月18日	2027年1月30日

GitHubのプルリクエストを自動レビューしていたAmazon Q Developer for GitHubは、新規インストールが2026年11月18日に止まります。AWSが示す移行先はKiroとKiro GitHub Appですが、Kiroの移行ガイドの機能比較表にコードレビューの行はありません。Kiro GitHub Appも、Issueを割り当ててエージェントに実装させる作りです。この移行ガイドを見る限り、Amazon Q detectorsによるルールベースのスキャンの引き継ぎ先は2026年11月時点で明記されていません。Q Developerの料金と移行後の費用はAmazon Q Developerの料金｜Free・Pro Tierの上限とKiro移行後の費用で扱っています。

Amazon Inspector Code Securityでリポジトリを継続スキャン

もう一方のAmazon Inspector Code Securityは、自社コード（SAST）、サードパーティの依存関係（SCA）、Infrastructure as Code（IaC）の3種類をスキャンします。対応するリポジトリプロバイダーはGitHubとGitLab Self-Managedです。スキャンはオンデマンド、コード変更時、定期の3通りで設定でき、組織のリポジトリをまとめて監視できます。ただし、既存のプルリクエストへの追加コミットではスキャンが再実行されません。再スキャンするには、プルリクエストを閉じて再度開く必要があります。監視するのは各リポジトリの既定ブランチだけなので、長く生きる開発ブランチは対象外になる点に注意してください。

料金はInspectorの料金ページのとおり、スキャン種別ごとのスキャン回数で決まります。AWS Price List APIの東京リージョンの料金データでは、SAST・SCA・IaCとも1回0.18ドルで、米国東部（バージニア北部）は0.15ドルです（2026年10月28日公開のデータ）。10MBを超えるリポジトリは10MBごとに1リポジトリとして数えます。たとえば東京で10MB未満のリポジトリ1つに、3種別とも週1回の定期スキャン（月4回）と月20件のプルリクエストスキャンをかけると、（4＋20）×3＝72回で月12.96ドルです。行数で課金するReviewerと違い、スキャンの頻度と種別の数で費用が動きます。無料トライアルは15日間です。Inspector全体の機能と料金はAmazon Inspectorとは？対応スキャンと料金・Classic終了後の導入判断にまとめています。

プルリクエストのレビューにおけるAWS Continuumと他社ツールの選定

Inspectorは継続スキャンに加え、重大度がCriticalまたはHighの検出結果について、PRやMRに修正案をコメントする機能も備えています。組織固有のセキュリティ要件に沿ったレビューを求める場合は、AWS Continuumに組み込まれたAWS Security Agentも候補です。ただし、プルリクエストへのコメントはプライベートのGitHubリポジトリに限られます。AWS Security Agentの料金ページでは、コードレビューと設計レビューはプレビュー中のため無料で、月ごとの件数上限だけが設けられています。KiroのPowerやClaude Codeのプラグインから、手元のコードや差分のスキャンも実行できます。プレビューなので、本番の品質ゲートに据えるのはGA後にするのが無難です。脆弱性の検証や修正プルリクエストまで含めた全体像はAWS Continuumとは？コード脆弱性の検出・検証・修正PRの仕組みと料金・導入手順で解説しています。AWS以外のSASTツールも候補にするなら、SASTとは？DAST・SCAとの違いとCI/CDへの組み込み・導入判断を実装視点で解説で分類から整理できます。

CodeGuruを前提に設計してはいけない場面

既存の関連付けが残っていても、これから組む仕組みの中核にCodeGuru Reviewerを据えるのは避けてください。CodeCommitのユーザーガイドは、Reviewerがメンテナンスモードにあり、既存の関連付けは動き続けるもののAWSは機能の強化や追加を行わないと明記しています。Reviewerの更新履歴でも、最後の機能追加は2022年5月2日の推奨事項の抑制で、同年8月23日の記述明確化のあとは2025年10月7日の新規停止の告知まで記載がありません。新しいプロジェクトの品質ゲートには、機能更新が続くサービスを選びます。

次のいずれかに当てはまり、利用するリポジトリプロバイダーと言語・バージョンがInspector Code Securityの対応範囲に入るなら、同サービスを軸に組みます。リポジトリを新設する場合（そもそも関連付けを作れません）、JavaとPython以外の言語を含む場合、IaCや依存関係の脆弱性まで見たい場合です。代替にQ Developerを選ぶのも同じ理由で勧めません。2026年11月から導入しても、GitHub連携は約3か月、IDEプラグインは約半年で終わります。

逆に、既存の関連付けで運用が回り、言語もJavaとPythonに閉じているなら、移行を急ぐ必要はありません。次のリポジトリ再編に合わせて移せば足ります。Profilerも同じ考え方で、すでに動いているプロファイリングを止める理由はありませんが、APM製品やOpenTelemetryの継続プロファイリングと比べずに新規採用するのは勧めません。ユーザーガイドの更新履歴に載る機能追加が2022年2月で途切れており、対応もJVMとPythonに限られるためです。AWS上の監視やコードスキャンの組み直しを外部に任せたい場合は、AWS・Google Cloud・Azureのインフラ構築支援で相談できます。

よくある質問

Amazon CodeGuruは廃止されたのですか？

3サービスで扱いが違います。CodeGuru Securityは2025年11月20日にサポートを終えました。CodeGuru Reviewerは廃止ではなくメンテナンス扱いで、2025年11月7日以降は新しいリポジトリ関連付けを作れませんが、既存の関連付けでは使えます。CodeGuru Profilerは通常どおり提供が続いています。

CodeGuruの料金はいくらですか？

Reviewerは90日間・10万行までの無料枠のあと、最初の10万行が月10ドル、以降10万行ごとに月30ドルです。オンボード済みリポジトリごとに月2回までのフルスキャンが含まれます。Profilerは90日の無料期間のあと1サンプリング時間0.005ドルで、1プロファイリンググループあたり月36,000時間（180ドル）を超えた分は課金されません。Lambdaでは支払いアカウントごとに500時間の無料枠が別に付きます。

CodeGuru Profilerも終了しますか？

2026年11月時点で終了は告知されていません。2025年10月のAWSサービス可用性更新の対象に入っておらず、ユーザーガイドにも新規停止の注記はありません。Javaエージェントは2026年11月時点でMaven Centralに1.2.7が公開されています。一方、ユーザーガイドの更新履歴に載る機能追加は2022年2月が最後です。

CodeGuru Securityの検出結果は他サービスへ移行できますか？

サービス終了後は、既存のスキャン結果や検出結果をサービスから取り出せません。コンソールもサービスリソースも参照できないため、記録が必要な場合は終了前に各自で書き出す必要がありました。他サービスへの移行可否を述べた当時の告知原文は、現在の公開ページでは確認できません。

CodeGuru Reviewerの代わりにAmazon Q Developerを使うべきですか？

これから導入するなら勧めません。Q Developerは2026年5月15日に新規サインアップを止め、IDEプラグインは2027年4月30日、GitHub連携アプリは2027年1月30日にサポートを終えます。移行先の候補は、リポジトリのスキャンと重大度の高い指摘のPRコメントならAmazon Inspector Code Security、組織固有の要件に沿ったPRレビューを足すならAWS Continuumのコードレビュー（プレビュー）や他社のツールです。対応リポジトリと検出対象を確かめてから選んでください。