20241214_JAWS_Kobe.pdf

Transcript

1. 1 © 2024 Japan Digital Design, Inc. Takuya Yonezawa 2024.12.13 JAWS-UG 神戸 第3回 俺はこのpreアップデートで白米食べれる
2. 2 © 2024 Japan Digital Design, Inc. 米澤 拓也 Software Engineer Technology & Development Div. 前職ではCCoE、現職ではSoftware Engineer フロント/バックエンドの実装からインフラ構築など何でもやってます JAWS DAYS2025/ JAWS DAYS2024 / PANKRATION2024 の運営（WEB） Fin-JAWSの運営もやってます 東京→大阪 移住完了 好きなAWSサービスは CloudFront、Lambda プロフィール @CDK Conference 2024 Not Certified
3. 3 © 2024 Japan Digital Design, Inc. pre:Invent期間中にも激アツアップデートがあったんですよ！！
4. 4 © 2024 Japan Digital Design, Inc. re:Invent前 11/20に発表されたコレ https://aws.amazon.com/jp/about-aws/whats-new/2024/11/amazon-cloudfront-vpc-origins/
5. 5 © 2024 Japan Digital Design, Inc. 今まで CloudFrontのオリジンに VPCリソース（NLB/ALB/EC2）を 設定する場合はPublic Subnetに 配置されたものじゃないとダメ！ VPC Private Subnet Public Subnet AZ Private Subnet Public Subnet AZ ECS Service ECS Service Public ALB CloudFront IGW EC2 アップデート前
6. 6 © 2024 Japan Digital Design, Inc. これから CloudFrontのオリジンに PrivateSubnetリソースも設定できる ようになった！ （Public Subnetももちろん可能） VPC Private Subnet Public Subnet AZ Private Subnet Public Subnet AZ ECS Service ECS Service Internal ALB CloudFront IGW EC2 アップデート後
7. 7 © 2024 Japan Digital Design, Inc. 渋すぎる
8. 8 © 2024 Japan Digital Design, Inc. 一体何が激アツなのか？ （アプリケーション開発者の目線です）
9. 9 © 2024 Japan Digital Design, Inc. ちょうど頭を悩ませていた CloudFrontのオリジンに VPCリソースを設定する際には PublicSubnet制約に起因する いくつもの懸念事項ががが ① 直アタック対応 ② コスト ③ アプリケーションの複雑化 VPC Private Subnet Public Subnet AZ Private Subnet Public Subnet AZ ECS Service ECS Service Public ALB CloudFront IGW EC2 アップデート前
10. 10 © 2024 Japan Digital Design, Inc. ちょうど頭を悩ませていた CloudFrontのオリジンに VPCリソースを設定する際には PublicSubnet制約に起因する いくつもの懸念事項ががが ① 直アタック対応 ② コスト ③ アプリケーションの複雑化 VPC Private Subnet Public Subnet AZ Private Subnet AZ IGW CloudFront EC2 Public ALB ECS Service ECS Service アップデート前 Public Subnet
11. 11 © 2024 Japan Digital Design, Inc. ちょうど頭を悩ませていた CloudFrontのオリジンに VPCリソースを設定する際には PublicSubnet制約に起因する いくつもの懸念事項ががが ① 直アタック対応 ② コスト ③ アプリケーションの複雑化 VPC Private Subnet Public Subnet AZ Private Subnet AZ IGW CloudFront EC2 Public ALB ECS Service ECS Service アップデート前 Public Subnet Public ALB/Public EC2をガードするのであれば - Security Groupで縛る （CloudFrontのPrefix List） - CloudFrontのRefererヘッダー値で弾く - アプリケーション側でCognitoなり認証を挟む あたりか んーーー、面倒！！
12. 12 © 2024 Japan Digital Design, Inc. VPC Private Subnet Public Subnet AZ Private Subnet Public Subnet AZ ECS Service ECS Service Internal ALB CloudFront IGW EC2 アップデート後 ちょうど頭を悩ませていた CloudFrontのオリジンに VPCリソースを設定する際には PublicSubnet制約に起因する いくつもの懸念事項ががが ① 直アタック対応 ② コスト ③ アプリケーションの複雑化
13. 13 © 2024 Japan Digital Design, Inc. VPC Public Subnet AZ Public Subnet AZ IGW ちょうど頭を悩ませていた CloudFrontのオリジンに VPCリソースを設定する際には PublicSubnet制約に起因する いくつもの懸念事項ががが ① 直アタック対応 ② コスト ③ アプリケーションの複雑化 CloudFront ECS Service ECS Service Internal ALB EC2 Private Subnet Private Subnet アップデート後 到達不能 到達不能 ネットワーク的な入口がCloudFrontに限定されるため、 CloudFrontでガードできていればヨシ！
14. 14 © 2024 Japan Digital Design, Inc. ちょうど頭を悩ませていた CloudFrontのオリジンに VPCリソースを設定する際には PublicSubnet制約に起因する いくつもの懸念事項ががが ① 直アタック対応 ② コスト ③ アプリケーションの複雑化 VPC Private Subnet Public Subnet AZ Private Subnet Public Subnet AZ ECS Service ECS Service Public ALB CloudFront IGW アップデート前 WAF WAF ENI （Public ALB） ENI （Public ALB）
15. 15 © 2024 Japan Digital Design, Inc. ちょうど頭を悩ませていた CloudFrontのオリジンに VPCリソースを設定する際には PublicSubnet制約に起因する いくつもの懸念事項ががが ① 直アタック対応 ② コスト ③ アプリケーションの複雑化 VPC Private Subnet Public Subnet AZ Private Subnet Public Subnet AZ ECS Service ECS Service Internal ALB CloudFront IGW WAF WAF ENI （Public ALB） ENI （Public ALB） アップデート後 お払い箱 お払い箱 お払い箱
16. 16 © 2024 Japan Digital Design, Inc. この延伸の裏側を考えてみる
17. 17 © 2024 Japan Digital Design, Inc. CloudFront → Private Subnet を設定すると。。
18. 18 © 2024 Japan Digital Design, Inc. 何なんだこのENIは！！！
19. 19 © 2024 Japan Digital Design, Inc. ヒントはこちらのブログ https://aws.amazon.com/jp/blogs/news/announcing-improved-vpc-networking-for-aws-lambda-functions/
20. 20 © 2024 Japan Digital Design, Inc. Lambda on VPCはHyperplaneという ネットワーク仮想化技術を用いてVPC内リソースにアクセスする https://aws.amazon.com/jp/blogs/news/announcing-improved-vpc-networking-for-aws-lambda-functions/ Hypterplane ENI
21. 21 © 2024 Japan Digital Design, Inc. Lambda on VPCはHyperplaneという ネットワーク仮想化技術を用いてVPC内リソースにアクセスする https://aws.amazon.com/jp/blogs/news/announcing-improved-vpc-networking-for-aws-lambda-functions/ Hypterplane ENI これがCloudfrontにも対応した！
22. 22 © 2024 Japan Digital Design, Inc. 答え合わせはre:InventのNetworkブースにあった模様 https://x.com/kara_nw/status/1864773900359602589
23. Thank you. 23 © 2024 Japan Digital Design, Inc.