Upgrade to Pro — share decks privately, control downloads, hide ads and more …

AWS Systems ManagerとAWS Configのちょっといい話

kaojiri
July 05, 2018

AWS Systems ManagerとAWS Configのちょっといい話

2018/07/05 OpsSecJAWS#1 登壇資料です。

kaojiri

July 05, 2018
Tweet

More Decks by kaojiri

Other Decks in Technology

Transcript

  1. Systems ManagerとAWS Configの
    ちょっといい話
    2018/07/05
    OpsSecJAWS #1

    View Slide

  2. AWS Systems Manager
    使ってますか?

    View Slide

  3. Run Command
    コマンドのリモート実行
    ステートマネージャー
    OS設定の一貫性を維持
    インベントリ
    インベントリ情報を収集
    メンテナンスウィンドウ
    管理・保守タスクを
    定期的に実行
    パッチマネージャー
    パッチ適用を管理
    オートメーション
    一般的な保守・デプロイ
    タスクを自動化
    パラメータストア
    機密データを一元管理
    AWS Systems Manager

    View Slide

  4. Run Command
    コマンドのリモート実行
    ステートマネージャー
    OS設定の一貫性を維持
    インベントリ
    インベントリ情報を収集
    メンテナンスウィンドウ
    管理・保守タスクを
    定期的に実行
    パッチマネージャー
    パッチ適用を管理
    オートメーション
    一般的な保守・デプロイ
    タスクを自動化
    パラメータストア
    機密データを一元管理
    AWS Systems Manager
    本日はここ

    View Slide

  5. インベントリ 
    • AWSの基本(責任共有モデル)
    • OSより下位レイヤーの部分はAWSで管理、それ以上は利用者責任
    • インベントリのすごいところ
    • OS以上の管理ができる(ログインなしで)
    • 責任範囲は利用者だけど、AWSの機能を使って管理できるように
    責任共有モデル:https://aws.amazon.com/jp/compliance/shared-responsibility-model/

    View Slide

  6. お見合い
    AP
    ミドル・各種SW
    OS周り
    AWSインフラ
    Dev
    Ops
    誰???
    初期導入時はインフラ側
    に任せて構築してもらっ
    たので、その後のメンテ
    もOpsでお願いできると
    思いがち。
    こういうところの状態管
    理って、EXCELで手で更
    新とかそういう文化が残
    ってる
    初期開発が終わり
    Opsフェーズに入ると、
    Opsは、OS以下の安定
    稼働に注力しがち…

    View Slide

  7. Systems managerで解決
    AP
    ミドル・各種SW
    OS周り
    AWSインフラ
    Dev
    Ops
    Systems managerで、
    EC2内の各種コンポー
    ネント情報を管理可能

    View Slide

  8. コンポーネントの一覧を確認可能

    View Slide

  9. 変更を追跡可能(AWS Config)

    View Slide

  10. みます?

    View Slide

  11. View Slide

  12. 確認
    顧客
    顧客環境
    AWS Config
    Excel
    生成
    AWS構成
    パラメーターシート
    Lambda
    発火
    本番環境 複製環境

    Ops
    複製
    検知

    View Slide

  13. View Slide

  14. Tips
    • イベントドリブンでやるにはCloudWatchEventsだが…
    • Inventory Resource State Changeだとインベントリ変更に反応しない
    • これはカスタムインベントリのステータス変更に関するトリガー
    • 英語版のドキュメントにだけ記載あり
    https://docs.aws.amazon.com/systems-manager/latest/userguide/sysman-inventory-delete.html#sysman-inventory-delete-cwe
    • Config RulesのSSM:ManagedInstanceInventoryで対応する
    こっち
    こっちじゃなく

    View Slide

  15. Tips
    • 変更時以外も発火する
    • 新規インベントリ関連付け時や、起動・停止時など
    • 厳密に「変更された時だけ」をトリガーしようとすると地味に条件は多い
    • ユースケースによってはスケジュール実行が無難なケースも…
    ○停止時
    "invokingEvent":{
    "configurationItemSummary":{
      "changeType\":"DELETE",

    "messageType":"OversizedConfigurationItemChangeNotification",
    "recordVersion":"1.0"
    },
    ○起動時、新規インベントリ関連付け時など
    "invokingEvent":{
    "configurationItemDiff":{
    "changedProperties":{},
    "changeType":"CREATE“
    },

    "messageType":"ConfigurationItemChangeNotification",
    "recordVersion":"1.3“
    },

    View Slide

  16. まとめ
    • 宙ぶらりんな部分を無くす努力を
    • AWSの機能で実現できるならガンガン使おう (今回はSystems Manager )
    • AWS Nativeが難しければ、既存ソフトとの併用を (今回はSystems Manager +Excel )
    • ツール化で煩雑な作業を減らそう
    • 現場と管理者は良き関係を維持しよう

    View Slide

  17. Thank you

    View Slide