ForgeVision AWS re:Invent 2025 re:Cap KANSAI

Transcript

1. フォージビジョンが送る re:Invent 報告会 Route 53 Global Resolver を 試してみた 2026/01/09 尾谷 紘平 ForgeVision, Inc. #fv_reinvent #awsreinvent
2. 尾谷 紘平（おたに こうへい） 所　属：フォージビジョン株式会社 職　務：カスタマーイネイブルメントチームマネージャ 職　種：インフラエンジニア 職　歴：2019 年、フォージビジョンにジョイン。 現在は、AWS 内製化支援サービスと Orca Security の 販売担当マネージャを担当。 好きな AWS サービス：Amazon Connect / Kiro 近況：年末は食あたりで苦しみましたが、大晦日〜正月は、親の年賀状作成　　 KIRO、塗装、今日の資料のための検証など満喫しました。 自己紹介 #fv_reinvent #awsreinvent
3. 1. Route 53 Global Resolver の概要 2. クライアント認証方式とグローバル構成イメージ 3. デモンストレーション 4. 想定ランニングコスト 引用：AWS re:Invent 2025 Secure Global DNS resolution: Introducing Route 53 Global Resolver (NET217) Agenda #fv_reinvent #awsreinvent
4. Route 53 Global Resolver の概要 #fv_reinvent #awsreinvent
5. #fv_reinvent #awsreinvent 外部から社内システムの名前解決 をさせたくない場合にプライベー トホストゾーンを利用します。❶ プライベートホストゾーンを設定 すると、社内ネットワーク❷や、 社外からでも、ClientVPN などの VPN を経由して社内ネットワーク に入れば❸、名前解決をさせる ことが可能です。 Route 53 Global Resolver の概要 • Private Hosted Zone (プライベート ホストゾーン) を利用する理由 ❶ ❷ ❸
6. #fv_reinvent #awsreinvent Route 53 Global Resolver の概要 • Route 53 Global Resolver は社外からも名前解決できるようにする仕組み これに対して、Route 53 Global Resolver は、外部からでも条件を 満たせば、プライベートホスト ゾーンのレコードを名前解決でき る仕組み❶です。 これらを含まない場合を拒否する ので、リクエスト元を限定させる ことができます。❷ 条件 ・事前承認したリクエスト元 IP 　アドレスとプロトコルか？ ・リクエストに事前に発行した 　暗号化トークンを含むか？ ❷ ❶
7. Route 53 Global Resolver の概要 • Route 53 Global Resolver を自前で用意する場合 以下のような多くの「辛み」があり、自前で用意するのは難しい状況がありました #fv_reinvent #awsreinvent Split DNS 管理が煩雑 拠点ごと、VPCごと、 オンプレごとに管理が必要で、 運用負荷が極めて高い。 • フォワーディングルール • Private Hosted Zone • 条件付きフォワード DNS セキュリティ 以下のリスク（特にデータ流出対 策）を防ぐための専門な知識が必 要でリスクが高い。 • DNS トネリング • DGA ※1 • ドメインへの悪意ある 通信 可用性・耐障害性 継続して利用するための設計を 自前で用意するコストパフォー マンスが悪い。 • DNS の冗長化 • フェイルオーバー設計 • 遠隔地・リモート環境で の安定した名前解決
8. Route 53 Global Resolver の概要 • Route 53 Global Resolver を自前で用意する場合 以下のような多くの「辛み」があり、自前で用意するのは難しい状況がありました • • • • これらを解決する「インターネット経由で使える、セキュアでグローバルな Anycast DNS リゾルバ」が Route 53 Global Resolver です。 #fv_reinvent #awsreinvent Split DNS 管理が煩雑 拠点ごと、VPCごと、 オンプレごとに管理が必要で、 運用負荷が極めて高い。 • フォワーディングルール • Private Hosted Zone • 条件付きフォワード DNS セキュリティ 以下のリスク（特にデータ流出 対策）を防ぐための専門な知識 が必要でリスクが高い。 • DNS トネリング • DGA ※1 • ドメインへの悪意ある通 信 可用性・耐障害性 継続して利用するための設計を 自前で用意するコストパフォー マンスが悪い。 • DNS の冗長化 • フェイルオーバー設計 • 遠隔地・リモート環境で の安定した名前解決 これを自前でやるのは辛い
9. Route 53 Global Resolver の概要 • Anycast DNS リゾルバについて 通常、インターネットに直接接続する すべてのデバイスやサーバーは、 固定のIP アドレスを持っています。 その固定アドレスに対して通信します。 → ユニキャスト これに対して、エニーキャスト ネットワークでは、ネットワーク上の 複数のサーバーが同じ IP アドレスを 持ち、最も近い場所にルーティング することができます。 #fv_reinvent #awsreinvent サーバ サーバ サーバ サーバ サーバ サーバ ユニキャスト エニーキャスト
10. クライアント認証方式 • IP アドレスベース → 固定 IP の拠点向け • アクセストークン方式（ローミング端末向け） → モバイル / リモート向け（IP が変わっても OK） #fv_reinvent #awsreinvent Anycast IP Anycast IP Anycast IP Anycast IP Global Resolver Private Hosted Zones Public DNS DNS Firewall グローバル構成イメージ
11. 事例 - Amazon GO などの Just Walk Out システムで利用 Route 53 Global Resolver 導入前 • 世界に 300 以上の店舗がある • DNS クエリ数は、550,000,000 以上 • IP アドレスを固定するのが困難 • 独自の DNS インフラの運用が高負荷 Route 53 Global Resolver 導入後 • アクセストークンで管理 • DNS 暗号化 • マルチリージョン化 • 運用負荷大幅削減 #fv_reinvent #awsreinvent
12. デモンストレーション チュートリアル: 最初の Route 53 Global Resolver を作成する https://docs.aws.amazon.com/ja_jp/Route53/latest/DeveloperGuide/gr-getting-started.html #fv_reinvent #awsreinvent
13. ランニングコスト • プレビュー中は無料 クエリ数が把握できるため、 プレビュー中にお試しする価値あり • 課金軸： ◦ 利用リージョン数 ▪ 最初の 2 リージョン 5.00 USD/h ▪ およそ 54 万円〜/月 ◦ クエリ数（10億までは無料） • 提供リージョン： ◦ 北米 / 欧州 / オーストラリア ◦ 東京リージョンも利用できます！ #fv_reinvent #awsreinvent