20240307 Webinar Well-Architected Framework

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © IDS Corporation. All rights reserved. 2  2  自己紹介  株式会社アイディーエス　小寺　加奈子（こでら　かなこ）【仕事】 AWSアライアンスリード【好きなAWSサービス】 Cost Exploler 【その他】 AWS Top Engineers 2023(services) AWS Community Builder 2024 (Cloud Operation)

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Copyright © IDS Corporation. All rights reserved. 6  6  みなさん、改めてWell-Architected フレームワークってなんでしょうか？  What is Well-Architected ？  AWSの10年以上の経験からまとめられたベストプラクティクス集です。    6つの柱から構成されており、  従うべき「設定原則」が定義されています。 

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Copyright © IDS Corporation. All rights reserved. 9  9  ● 人為的なミスをなくす仕組みづくり    ● 誰がジョインしても大丈夫な  運用手順のアップデート    ● 定期的に、年に1度は障害を予測した訓練を行う    ● 障害から学ぶのは「ナレッジベース」に情報を残す。後学のためにも。  ● ビジネス上のKPIを定める！      運用の優秀性は何を考慮すべき？   

Slide 10

Slide 10 text

Copyright © IDS Corporation. All rights reserved. 10  10  セキュリティ   ● 強力なアイデンティティ基盤を実装する  ● トレーサビリティの実現  ● 全レイヤーでセキュリティを適用する  ● セキュリティのベストプラクティスを自動化する  ● 伝送中および保管中のデータを保護する  ● データに人の手を入れない  ● セキュリティイベントに備える 

Slide 11

Slide 11 text

Copyright © IDS Corporation. All rights reserved. 11  11  ● 最小特権の原則に基づく。  すべてAdministratorAccessではない？    ● IDは一元管理して、ログで追跡可能に    ● すべてのレイヤーがセキュリティ管理の対象    ● 暗号化などは徹底して実施（SSLのみが対象ではない）  ● インシデントの予測＝リスク管理      セキュリティは何を考慮すべき？   

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Copyright © IDS Corporation. All rights reserved. 15  15  ● 製品の開発＝本業へ集中できるようアップデートを取り入れる。（ベンダー任せではなく）    ● サーバーレスアーキテクチャを取り入れよう    ● リソースを自動的に起動できる仕組みづくりで、いろいろなタイプで開発の検証を  ● データの効率性を考える  パフォーマンス効率は何を考慮すべき？ 

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Copyright © IDS Corporation. All rights reserved. 17  17  ● 「コスト効率」を達成できる組織作り    ● 必要な使用分のみを支払うように  開発環境もずっと起動していない？    ● コストのモニタリングを行う  なんとなくクラウドだから利用が増えても仕方ないと思っていないか？    ● 費用の分析＝ビジネス指標をもつ  常にROIを意識する    コスト最適化は何を考慮すべき？ 

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Copyright © IDS Corporation. All rights reserved. 27  ログ記録  アンチパターンに対しての解決策  • 必要な場合に備えて、あらゆるタイプのログを保存する。 →セキュリティ要件に合わせたログを取得する • ログが永久に保存される、またはすぐに削除される。 • 誰でもログにアクセスできる。 • 必要な場合にのみログ整合性をチェックする。 →適切なログ保持期間・アクセス権限を識別する • ログガバナンスと使用について、手動プロセスのみに依存する。 →適切な保持とライフサイクルポリシーを使う

Slide 28

Slide 28 text

Copyright © IDS Corporation. All rights reserved. 28  ログ記録　–アンチパターンに対しての解決策-  セキュリティ要件に合わせたログを取得する  AWSのサービスのログ  環境に合わせたログ  • 取得するログの種類  ログ名 CloudTrailログ（AWS） VPCフローログ（AWS） ALBアクセスログ（AWS） /var/log/message（OS）  /var/log/secure（OS）監査ログ（アプリ）アクセスログ（アプリ）

Slide 29

Slide 29 text

Copyright © IDS Corporation. All rights reserved. 29  適切なログ保持期間・アクセス権限を識別する  ログ名保管期間 CloudTrailログ（AWS） 1年 VPCフローログ（AWS） 1か月  ALBアクセスログ（AWS）半年 /var/log/message（OS）  1年 /var/log/secure（OS） 1年監査ログ（アプリ） 1年アクセスログ（アプリ） 1年 AWS Cloud S3 S3 Backet Backet Policy ログ記録　–アンチパターンに対しての解決策- 

Slide 30

Slide 30 text

Copyright © IDS Corporation. All rights reserved. 30  適切な保持とライフサイクルポリシーを使う  S3 Standard S3 標準-IA ログファイルA  アップロード  0日  90日  180日  365日  ログファイルA の削除  アクセス頻度の高いファイル向け  アクセス頻度が低いがすぐに取り出す必要があるファイル向け  アクセスがほぼなく、  即時取り出しを必要   としないファイル向け   S3 Glacier Flexible Retrieval ログ記録　–アンチパターンに対しての解決策- 

Slide 31

Slide 31 text

Copyright © IDS Corporation. All rights reserved. 31  ログ記録  アンチパターンに対しての解決策  • 必要な場合に備えて、あらゆるタイプのログを保存する。 →セキュリティ要件に合わせたログを取得する • ログが永久に保存される、またはすぐに削除される。 • 誰でもログにアクセスできる。 • 必要な場合にのみログ整合性をチェックする。 →適切なログ保持期間・アクセス権限を識別する • ログガバナンスと使用について、手動プロセスのみに依存する。 →適切な保持とライフサイクルポリシーを使う

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Copyright © IDS Corporation. All rights reserved. 33  ログ記録  設定例のご紹介  • CloudTrailの監査証跡をS3に保存  AWS Cloud AWS CloudTrail S3 Cloud Trailのログの  最大保管期間は90日  ・最大保存期間を1年にする  ・ライフサイクルポリシーの　  　設定  ・編集の禁止権限  ・全員からの削除不可権限  ログ格納 

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Copyright © IDS Corporation. All rights reserved. 39  ログ記録　–設定例のご紹介-  CloudTrailの監査証跡をS3に保存  • S3バケットポリシーの設定  { "Sid": "ReadOnly", "Effect": "Deny", "Principal": { "AWS": "*" }, "Action": "s3:DeleteObject", "Resource": "arn:aws:s3:::aws-cloudtrail-logs-123456789012 -6cbd7c96/*" }, { "Sid": "ReadOnly2", "Effect": "Deny", "Principal": { "AWS": "arn:aws:iam::123456789012:user/test" }, "Action": "s3:PutObject", "Resource": "arn:aws:s3:::aws-cloudtrail-logs-123456789012-6cbd7c96/*“ }  全てのアカウントで  オブジェクト削除禁止  Testユーザーは  オブジェクトへの  書き込み禁止 

Slide 40

Slide 40 text

Slide 41

Slide 41 text

Slide 42

Slide 42 text

Copyright © IDS Corporation. All rights reserved. 42  ログ記録  アンチパターンに対しての解決策  • 必要な場合に備えて、あらゆるタイプのログを保存する。 →セキュリティ要件に合わせたログを取得する • ログが永久に保存される、またはすぐに削除される。 • 誰でもログにアクセスできる。 • 必要な場合にのみログ整合性をチェックする。 →適切なログ保持期間・アクセス権限を識別する • ログガバナンスと使用について、手動プロセスのみに依存する。 →適切な保持とライフサイクルポリシーを使う

Slide 43

Slide 43 text