AWS(Amazon Web Services) †
非/機能要件/設計 †
記事:
便利な拡張機能 †
利用停止/終了サービス一覧 †
メンテナンス画面の表示方法 †
記事:
アンチパターン †
記事:
オンプレミスとの比較 †
記事:
コンテナ系アーキテクチャの選択 †
記事:
監視 †
記事:
リージョン間のレイテンシ †
アーキテクチャ図の書き方 †
ツール:
Artifact: コンプライアンスレポート †
- NDAなので詳細は記載できないが、英語のPDFをダウンロードできる
- レポート > Japanで検索すると出てくるPDFの中に、BCP(Business Continuity Planning, 事業継続計画), DR(Disaster Recovery, 災害復旧) について記載がある
Copilot: コンテナアプリケーションの自動デプロイ †
Location: マップ、位置、ルート †
マップデモ:
CloudShell †
Fluent Bit for Amazon EKS †
AMP(Amazon Managed Service for Prometheus) †
AMG(Amazon Managed Service for Grafana) †
記事:
Step Functions: 複数のjobをワークフローで視覚的に管理 †
記事:
Gateway Load Balancer: サードパーティーのセキュリティ製品を経由してアクセスさせる †
Perspective: 現リソースからアーキテクチャ図の作成 †
Network Firewall: マネージドファイアウォール †
Timestream: 時系列データ用DB †
Translate: 機械翻訳サービス †
監査/Audit †
AWSの事はAWSの機能でやるとして、「監査していますよ」と言える状態にするにはどうするのか
- EC2のsshログ
- 変なアクセスが成功していないか？(/var/log/secure)
SageMaker: 機械学習モデルのマネージドサービス †
CodeGuru: 機械学習で遅い(実行コストの高い)コードを見つける †
- 対応gitリポジトリ: 2020-07
- AWS CodeCommit
- Bitbucket
- GitHub
- CodeGuru Reviewer
- コードレビューの自動化。ソースコードをスキャンしてPRを作ってくれる
- 料金: 100行/0.75 USD と非常に高い。90日間の無償トライアルがある。
- CodeGuru Profiler
- パフォーマンス分析
- 料金: リソースのサンプリング時間毎の課金
Shield: マネージドDDoS保護 †
EventBridge: サーバレスのイベントバス †
Kendra: 機械学習ベースの検索サービス †
AWSサービスのIP range †
License Manager: ライセンスの追跡、管理、制御 †
Service Catalog: IT管理者の許可したリソースをユーザに提供 †
Cloud9: クラウドベースのIDE †
Macie: 機械学習によるS3上アクセスの保護 †
Googleスプレッドシートでの管理 †
Stash: AWS関連情報を複数のソースから検索 †
KMS(Key Management Service): 鍵の管理 †
CloudGoat: セキュリティ学習用AWS環境 †
Elemental MediaConvert: 動画変換サービス †
Forcast: 機械学習を使用した時系列予測サービス †
DataSync: オンプレミスとS3/EFS間の同期 †
リソースの命名、タグ付け †
- AWSリソースID
- DNSでリソースを区別する事が多々あるため、 半角英数字、ハイフンのみ を使う事推奨。
Global Accelerator: 複数リージョンからのアクセスを固定IPを使って行う †
AWS障害時の対応 †
基本はMultiAZ(3AZ推奨)だが、耐障害性と費用のバランスを考える必要がある。
AppSync: GraphQL＆サーバレスでバックエンドを実装 †
Resource Optimization Recommendations †
AWSアカウントの解約/クリーンアップ †
- AWS アカウントを解約する
- 解約はルートユーザーのみ
- 解約後、90日以内はAWS consoleにログインでき、AWS サポートで連絡できる。
- RI(リザーブドインスタンス), SavingsPlansの支払い期間が残っていると、解約しても支払いが発生する
記事:
AWSアカウントの譲渡 †
Inspector: EC2にagentをインストールして脆弱性診断 †
EFS(Elastic File System): NFSでストレージをマウント †
DMS(Database Migration Service): †
Control Tower: 複数アカウントの管理 †
Service Quotas: サービス上限の一括管理 †
Security Hub: セキュリティアラートの一元管理 †
Workspaces: 仮想デスクトップサービス †
FSx for Windows: SMBファイルサーバー †
コンプライアンスの問い合わせ †
普通の技術サポートではなく、専用のwebフォームから問い合わせる。
- 使いたいサービスが、HIPAA, ISO27001, PCI, etc...に対応しているか
AWSグローバルインフラストラクチャの可視化 †
Cognito: マネージドユーザ認証 †
MSK(Amazon Managed Streaming for Kafka) †
Kinesis: 動画とストリーミングデータの収集、処理、分析 †
Lex: AI活用した会話型インタフェース †
API Gateway †
- Edgeパターン
- us-east-1のACMにSSL証明書をインポート
- 専用のCloudFront Endpointが追加されるので、DNS設定
- Regionalパターン
- 各リージョンに設定する。CloudFrontは使わない。ACMも使わず、API gatewayに直接SSL証明書をインポート。
- 専用のLambda Endpointが追加されるので、DNS設定
- 中国はRegionalのみ対応(2019-04)
prowler: 複数のAWSアカウントからセキュリティ監査レポートを作るOSS †
- GitHub - prowler-cloud/prowler: Prowler is an Open Source Security tool for AWS, Azure, GCP and Kubernetes to do security assessments, audits, incident response, compliance, continuous monitoring, hardening and forensics readiness. Includes CIS, NIST 800, NIST CSF, CISA, FedRAMP, PCI-DSS, GDPR, HIPAA, FFIEC, SOC2, GXP, Well-Architected Security, ENS and more
AWS公式docにリンクあり
記事:
セキュリティ †
- 通知(SlackやEmail)等を有効にする。各機能を有効にしただけでは、異常が起きても気がつかないため必須。
- CloudWatch Events + SNS でEmail通知
- 簡単。Slack専用のEmailアドレスに転送するだけなので楽。見た目はシンプル。
- Lambda。Slack専用に見やすくカスタマイズが出来るが、手間がかかる。
- CloudTrail
- APIのログが残る。誰がどんな操作をしたかがが分かる。API単位なので件数が多い
- GuardDuty
開発者:
記事:
Transfer for SFTP: S3をバックエンドにしたSFTP/SCPマネージドサービス †
- AWS Transfer for SFTP
- S3をバックエンドにできるので、堅牢性、容量の面で安心
- ユーザ認証: SSH public key, Active Directory, LDAP
- WinSCP、FileZilla、CyberDuck、OpenSSH(scp)等のメジャーなクライアントから使える
サーバレス †
サーバレス構成でよく使うサービス
- API gateway
- Lambda
- CloudWatch
- CloudFront
Lightsail: VPSサービス †
- Lightsail
- WordPress, LAMP, Node.js, Redmine, GitLab, ... といったインストール済みのホストを数クリックで起動できる。
- 月額 $4〜
サービスの選択 †
開発プロセス †
AWS認定資格 †
Support: サポート †
Glue DataBrew: コードを書かずにデータ前処理 †
Glue: マネージドETLサービス †
中国リージョン †
- Memo/Aliyun の注意点参照
- AWS Global版とはアカウントが別になる。
- AWS Chinaは中国法人が必要。
- ICPライセンスが無いとweb公開(80,443,8080)ができない。
- ICPライセンスの申請は、リージョン毎に別会社。1ヶ月くらいかかる？
- API Gatewayでも同様に、認証無しでのアクセスができない。token認証有りは通信OK。ICPライセンスが無いと「curl -i https://<api-gateway endpoint>」が「x-amzn-ErrorType: AccessDeniedException」になる。
- 時間帯によって非常に遅くなる。通信が悪い。 南北問題？
- リージョンによって、無いサービスも多い。2019-01-30 NingxiaリージョンのみAuroraがある。
- API Endpointが異なる。「ec2.cn-northwest-1.amazonaws.com.cns.com.cn」
- ARNが異なる。「arn:aws-cn:iam::123456789012:user/division_abc/subdivision_xyz/Bob」等
ECS: EC2上でDockerコンテナを管理 †
Chrome/Firefox拡張機能 †
ホワイトペーパー: 解決すべき課題、要因を分析、解決策を提示 †
ベストプラクティス †
モバイル(Android/iOS)アプリ †
マーケティングEMAILを停止する †
複数AWSアカウント使用時に同じメールが来て邪魔。
- AWS Email Preferences を開く
- AWS root accountを入力
- 「Do not send me marketing email」にチェック
- Save
DDoS対策 †
Aurora: MySQL/PostgreSQL互換のデータベース †
- Auroraのメリット
- Read replicaを複数台利用するケースは早くなる。
- masterしか使わない(書き込みが多い)場合は効果はない
- デメリット
Redshift: マネージドデータウェアハウスサービス †
侵入/脆弱性テスト申請 †
- 2019-03-01現在、EC2/NAT gateway/ELB/RDS/CloudFront/Lambda@Edge/Aurora/API gateway/Lambda/Lightsail/Elastic Beanstalkへのテストは事前承認無しになった。ただし、JPサイトはまだ更新されていない。ENサイトでは8つのサービスは不要と記述がある。
- 侵入テスト - AWS
- 1フォームで2種類の申請ができる。テスト元で入力が異なる
- source: EC2からEC2への侵入テスト
- target: 外部IPからEC2への侵入テスト
- 承認番号を含むメールが届くまではテストは許可されない。通常2営業日以内
- AWS以外のホストから、EC2へのスキャンを申請する場合: Scan Infomation
- IP Addresses to be scanned (Destination): スキャン先EC2のプライベートIP
aws --profile default --region ap-northeast-1 ec2 describe-instances \
--filters "Name=instance-state-name,Values=running" \
--query 'Reservations[].Instances[].NetworkInterfaces[].PrivateIpAddresses[].PrivateIpAddress' \
--output text | tr '\t' '\n'
172.31.0.1
172.31.0.2
...
- Are the instances the source of the scan or the target of the scan ?: Target
- Instances IDs*: スキャン先EC2のインスタンスID
aws --profile default --region ap-northeast-1 ec2 describe-instances \
--filters "Name=instance-state-name,Values=running" \
--query 'Reservations[].Instances[].InstanceId' \
--output text | tr '\t' '\n'
i-00000001
i-00000002
...
- Scanning IP addresses (Source)*: スキャン元IP
1.2.3.4
Windows Server/SQL Server †
2段階認証 †
IAMでのログイン時に2段階認証を利用できる。セキュリティのため利用したほうが良い
ハードウェアキーを使う場合:
記事:
IPアドレス範囲 †
不正利用 †
- IAM keysがgithubに漏れたり、SSL Heartbleed bug等の致命的な問題の時、AWSからメールが来る(aws-verification@amazon.com)。このメールには必ず返信が必要で、返信しないでいるとEC2を新規に立てられなくなるといった制限が付く(該当リージョンのみ)
- すぐにAWSサポートへ連絡。連絡して、適切な処理をする事で、不正利用された金額が戻ってくる(こともある)
- IAM keysが漏れた場合、該当キーをinactiveにするだけはだめで、deleteする必要がある
SSL Heartbleed bug対応 †
API上限 †
ネットワーク図 †
- Cacoo用 AWSクラウドデザインパターンテンプレート
AWS側のメンテナンス †
EC2/RDS等、ハードウェア交換等でOSのリブートやインスタンスのstop/startをするようにとメールが来る場合がある。
- Amazon EC2 のメンテナンスのヘルプページ
- system-reboot
- EC2 EBSベースなら、EC2のstop/start
- EC2 S3ベースなら terminate/start。エフェメラルディスクの内容は消えるため、必要ならばバックアップが必要
- instance-reboot
- OSの再起動をすれば良い。reboot or shutdown -r now
- エフェメラルディスクの内容はそのまま
- 機器が古いのかus-west-1では多い(気がする)
Elastic Transcoder †
- AWSで動画の変換サービス
- 米国東部リージョンで標準解像度(SD, 720p未満)の元動画1分あたり0.03ドル
- 入力形式：MP4, 3GP, AAC, AVI, FLV
- 出力形式：MP4, H.264, AAC
サービス上限緩和の申請 †
各種ログの保存期間 †
- Athenaで分析できる形式でS3に保存し、Athenaのqueryで検索するのが料金的にも安くて良い。
- OpenSearchはクラスター構成のため固定費が高く(最低$1000 USD/month)、複数人が毎日大量に分析業務をする等でなければ料金に合わない。
記事:
ヘルスチェック/SLA †
構築自動化 †
セミナー/育成/勉強会 †
![[PukiWiki]](image/owl.png "[PukiWiki]")
ec2cli_vs_awscli.sh 1033件
[詳細]
