Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
re:GrowthOSAKA2019-CoreServicesUpdate(IAM.S3.EC2)
Search
chadain
December 17, 2019
Technology
0
1.4k
re:GrowthOSAKA2019-CoreServicesUpdate(IAM.S3.EC2)
re:GrowthOSAKA2019-CoreServicesUpdate(IAM.S3.EC2)
chadain
December 17, 2019
Tweet
Share
More Decks by chadain
See All by chadain
AWS Control Towerと HashiCorp Terraformでいい感じにマルチアカウント管理をしよう
chazuke4649
0
650
Account Factory for Terraform (AFT) 入門
chazuke4649
0
1.5k
minimum-guardrails-by-aws-iam
chazuke4649
1
1.9k
"Are you Well-Architected?" Introducing about Cloud Optimization Aseesment
chazuke4649
0
990
How to think about Acsess controll of Amazon S3 simply
chazuke4649
1
1.8k
Other Decks in Technology
See All in Technology
Understanding and Optimising INP
akshayysharma
0
150
あなたのアプリケーションをレガシーコードにしないための実践Pytest入門/pyconjp2024_pytest
mhrtech
6
1.2k
XPを始める新人に伝えたい近道の鍵
nakasho
1
190
ITエンジニアとして知っておいてほしい、電子メールという大きな穴
logica0419
1
260
Authenticator のエミュレーションによる パスキーのログインテスト/nikkei-tech-talk-25
nikkei_engineer_recruiting
0
130
Consoles, printk, Nested-NMIs_ Oh my!
ennael
PRO
0
140
Create Inquiry via Bedrock / 生成 AI で問い合わせ品質は変わるのか?思いついてぱっと作ったものを供養してみる
kazzpapa3
1
190
【shownet.conf_】コンピューティング資源を統合した分散コンテナ基盤の進化
shownet
PRO
0
270
【shownet.conf_】ShowNet 2024 ~ Inter * Network ~
shownet
PRO
0
350
Report of JAWS PANKRATION 2024, a global online event using Amazon IVS
yoshimi0227
1
130
SQLによるオブザーバビリティの進化とClickHouseの実力
mikimatsumoto
0
150
Renovate ではじめる運用レスなライブラリ更新 / 令和最新版 他人に自慢したいヤバいCI/CD LT会 @ yabaibuki.dev #2
ponkio_o
PRO
1
120
Featured
See All Featured
Product Roadmaps are Hard
iamctodd
PRO
48
10k
Visualization
eitanlees
143
15k
ReactJS: Keep Simple. Everything can be a component!
pedronauck
663
120k
Speed Design
sergeychernyshev
22
460
The Illustrated Children's Guide to Kubernetes
chrisshort
47
48k
What's in a price? How to price your products and services
michaelherold
243
11k
Ruby is Unlike a Banana
tanoku
96
11k
Build your cross-platform service in a week with App Engine
jlugia
228
18k
Responsive Adventures: Dirty Tricks From The Dark Corners of Front-End
smashingmag
248
21k
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
124
18k
Fashionably flexible responsive web design (full day workshop)
malarkey
402
65k
Clear Off the Table
cherdarchuk
91
320k
Transcript
今すぐ使える!超コアサービス (IAM/S3/EC2 )のアップデート紹介
2 Please Share me !! #cmregrowth
スライドは後で入手することが出来ますので 発表中の内容をメモする必要はありません。 写真撮影をする場合は フラッシュ・シャッター音が出ないようにご配慮ください 3
4 自己紹介 茶谷 和弥 (ちゃだいん) クラスメソッド株式会社 AWS事業本部 コンサルティング部 好きなAWSサービス: S3,
CloudFormation 好きなクラフトビール: 箕面ビール W-IPA chazuke4649
本セッションで紹介するアップデート 1. IAM Access Analyzer 2. S3 Access Points 3.
EC2 Image Builder 5
6 IAM Access Analyzer
IAM Access Analyzer とは 外部からアクセスできるリソースを 超カンタンに検出・修正できる素敵なサービス 7
前提 セキュリティリスクで 1番避けたいのが「うっかり外部公開」 とはいえ、自在にスケールするクラウドにおいて、 「意図しない外部からのアクセス経路」がないことを 担保し続けるのって結構大変! 8
今まで • 1つ1つ手作業 or Policy Simulator でアクセス検証 … • 検証後は、AWS
Config を作り込んで変更監視 … → なかなか骨の折れる作業 参考)IAM Access Analyzerと既存の機能を比較してどう使っていくか考 察してみた 9
今までに対する不安や疑問 • 時間とコストはどれくらいかかる? • 本当に全経路確認できてる?漏れてない? • これを継続できる? • 新しいリソース追加時はまた一からやり直し? 10
IAM Access Analyzerを使えば • 時間とコストはどれくらいかかる? → 利用料金無料 !! 数秒レベルで設定・解析し検出完了 •
本当に全経路確認できてる?漏れてない? → 数学的な手法(自動推論)で考えうる全てのアクセ スパスを分析することができ、最高レベルの保証を提供 • これを継続できる? • → 24時間ごとに解析、専用コンソールで一目瞭然 • 新しいリソース追加時はまた一からやり直す • → 追加・変更時は30分以内に解析 11
12 簡単な流れ 1. アナライザーを有効(リージョン単位で必要) 2. 検出結果一覧をレビュー 3. 意図通りはアーカイブ、意図通りでないものは修 正(そのまま同じ画面からできます) AWS
Identity & Access Management アクセス分析 - アマゾン ウェブ サービス
13 対象のリソース • Amazon S3 バケット • IAM ロール •
AWS KMS キー • AWS Lambda 関数とレイヤー • Amazon SQS キュー
14 Access Analyzer for S3
Access Analyzer for S3とは IAM Access Analyzer の S3 特化版
• S3コンソールに専用画面があり、確認しやすい • IAM Access Analyzer有効で自動有効 • CSVレポートがダウンロード可能(他はできない) • もちろん利用料金無料 !! 15
IAM Access Analyzer 試す時間 画面開いてから検出結果表示まで 数秒レベル !!!! 16
IAM Access Analyzer 続きはブログで 超カンタンで無料でなので、 とりあえず有効にしてみてください! • [速報] AWS IAM
Access Analyzerがリリースされました! • IAM Access Analyzerと既存の機能を比較してどう使っていくか考察してみた • re:Invent 2019 IAM Access Analyzerについて調べてみた • IAM Access Analyzer を一発で有効にしてみた • 【速報】新機能!S3 Access Analyzerがリリースされました • 新機能のAccess Analyzer for S3を利用して誤ったS3の公開を止める! 17
18 S3 Access Points
S3 Access Pointsとは 複数のアクセス元を それぞれ個別でアクセス制御ができる素敵なサービス 19
比較すると 今まで S3 Access Pointsを使用 20
今まで • 複数のアクセスも1つの バケットポリシーで管理 • 細やかな設定を加えると、 それだけjsonが複雑に • アクセス元や条件の追 加・削除時に間違えるリ
スク 21
S3 Access Points を使えば • 複数のアクセス元に対し 複数のアクセスポイント • 個別で設定可能なので、 他への影響はなし
• 追加・削除もしやすい 22
設定できること アクセスタイプ • VPC • Internet ※VPCは別途VPCエンドポイントが必要 23
設定できること ブロックパブリックアク セスを設定可能 アクセスポイントポリシ ーを設定可能 24
S3 Access Points が有効な条件 • 2つ以上のアクセス元がある(1つなら不要) • それぞれ個別でアクセスを制御したい(全て同じで OKなら不要) 25
推奨設定 アクセスポイントを使用する場合、 アクセスポイント経由以外のアクセスをバケットポリシ ーで拒否する →アクセスポイントのみ管理すればOKな状態に S3アクセスポイントのうれしい点を自分な りの理解で解説してみる https://dev.classmethod.jp/cloud/aws/explai n-the-good-point-of-s3-access-points/ 参考のバケットポリシーは
このブログをチェック 26
S3 Access Points 試す時間 画面開いてからアクセスポイント作成まで 数十秒レベル !!! 27
S3 Access Points の結論 無料ですぐに作成できます! バケットポリシーに苦労した経験のある方は即試してみ てください。 • [速報]アクセスポリシーを持ったS3のアクセスポイント「Amazon S3
Access Points」がGAになりました! • [S3 Access Points]S3バケットアクセスをVPC内に制限する • [S3 Access Points]S3バケットのエンドポイントを作成しセキュリティレベルを分 ける • S3アクセスポイントのうれしい点を自分なりの理解で解説してみる • [re:Invent 2019] 「S3 Access Point」を自分なりに解釈してみた 28
29 EC2 Image Builder
EC2 Image Builder とは ゴールデンイメージの作成・更新を まるっと自動化できる素敵なサービス 30
今までのゴールデンイメージ管理 • 手動作成だととても時間がかかる作業 … • 自前スクリプトやPackerなど複数のツールを多用 … → これらを解決するのが、Image Builder
!!! 31
EC2 Image Builder 特徴 • イメージ作成・テスト・配布を一気通貫で自動化 • 手動実行・スケジューリングも可能 • 複数リージョンに配布可能
• 別AWSアカウントに配布可能 • GUIでカンタン操作 • VM Import/Exportを併用し、オンプレとも連携可能 • Image Builder利用は無料 (スナップショットは従来通りの料金) 32
33 簡単な流れ 1. 事前準備(カスタムする場合、ビルドコンポーネント,テストの設定) 2. イメージパイプラインの作成 3. イメージパイプラインの実行 4. ゴールデンイメージの配布
EC2 Image Builder
ビルドコンポーネント ソフトウェアのインストールや、 OSセキュリティ設定を定義 • AWS管理分が使用可能 • Python 3 • PHP
7.2, 7.3 • Corretto • STIG 等 • 独自で作成分も使用可能 • 独自アプリケーション • 独自セキュリティ設定 34
ビルドコンポーネント 独自作成の場合、 定義ドキュメント(yaml形式) を作成する 例:Apacheインストール 35
テスト 作成したイメージのテストを定義 • AWS管理分が使用可能 • 起動・再起動テスト • Inspector脆弱性テスト 等 •
独自で作成分も使用可能 • 独自基準テスト • こちらもyamlで記述 36
レシピ イメージパイプラインに設定する 「 OS + ビルドコンポーネント + テスト」の組み合わせ • OS
• Amazon Linux 2 • Windows Server 2019/2016/2012 R2 • AMIs • AWS管理分 • 個人作成分 37
イメージパイプライン 「レシピ + パイプライン設定」の組み合わせ 設定できること • スケジュール(手動/スケジューラー/Cron形式) • インスタンスタイプ •
SNSトピック • VPC/サブネット/SecurityGroup • キーペア • ログ用S3バケット etc 38
E2 Image Builder 試す時間 画面開いてからイメージパイプライン実行開始まで 数分レベル !!! 39
EC2 Image Builder 続きはブログで(すでに14本!!!!) • EC2のイメージ作成を劇的に効率化するEC2 Image Builderが発表されました! #reinvent •
[re:Invent 2019] EC2イメージビルダーをサクッと試してみた #reinvent • EC2 Image Builderで作ったイメージを他アカウントに共有してみた #reinvent • [re:Invent 2019] EC2イメージビルダーを使って複数リージョンにAMIを作成してみた #reinvent • [re:Invent 2019] EC2 Image Builder で S3 からコンテンツをデプロイしてみた #reinvent • [re:Invent 2019] EC2 Image Builder でコンポーネントを作成してみた #reinvent • [re:Invent 2019] EC2 Image Builder で複数コンポーネントを実行してみた #reinvent • [re:Invent 2019] EC2 Image Builder のパイプラインを AWS CLI で実行してみた #reinvent • EC2 Image BuilderでCloudwatch Agent構築したAMIを作成してみた #reinvent • EC2 Image BuilderでWindows ServerのAMIを作成してみた • [re:Invent2019] EC2 Image Builderを使ってPowerShell Coreをインストールしてみた #reinvent • [re:Invent2019] EC2 Image BuilderのWindows STIGコンポーネントを調べてみた #reinvent • [小ネタ] EC2 Image Builder のエラーを追う! #reinvent • [レポート] 簡単にマシンイメージ作成ができる新サービス「EC2 Image Builder」 #reinvent 40
41 まとめ
42 まとめ ü Access Analyzerは、外部アクセス経路検出の救世主 !! ü S3 Access Pointsは、S3複数アクセス管理の救世主
!! ü EC2 Image Builderは、ゴールデンAMI管理の救世主 !! ü 全て、今すぐ使えます !!
まとめ 速攻試して re:Inventなアップデートを 体感ください。 43
44 Thank you !!
45