AWS re:Invent 2024 ふりかえり勉強会

Transcript

1. 2024.12.23 クラスメソッド株式会社 yhana re:Invent 2024 ふりかえり勉強会
2. もくじ 2 • アップデート紹介（re:Invent 開催前のアップデート含む） ◦ コンピューティング ◦ ネットワーク ◦ ストレージ ◦ データベース • その他のアップデートの参考情報
3. コンピューティング
4. コンピューティングのアップデートから紹介する内容 4 • Amazon Elastic VMware Service のプレビューを開始 • Amazon EC2 Allowed AMI 機能を発表 • AWS Step Functions が Variables と JSONata の変換に対応
5. Amazon Elastic VMware Service（プレビュー） 5 • VMware Cloud Foundation (VCF) ◦ ユーザー作成の VPC にデプロイして利用 ◦ ユーザー側で仮想化基盤の管理者権限を利用可能 ◦ セルフマネージド型またはパートナーによるマネージド型 • リリース時点でベアメタルインスタンス i4i.netal × 4hosts 構成から • 限定プレビュー中のため利用には申請が必要 関連ブログ：「ついに来た！Amazon Elastic VMware Serviceの爆速キャッチアップ」というタイトルでCM re:Growth 2024 OSAKAに登壇しました
6. Amazon Elastic VMware Service（プレビュー） 6 アーキテクチャ（ストレージは VMware vSAN）
7. Amazon Elastic VMware Service（プレビュー） 7 オンプレミス拠点と Direct Connect を用いた 閉域接続と VPN 接続が 可能
8. Amazon EC2 Allowed AMI 8 • AWS アカウント内における AMI の使用を制限する機能 • 使用制限する設定の他、基準に沿っているか確認できる Audit モードあり • ルールは JSON 形式で作成 関連ブログ：[アップデート] Amazon EC2 で AMI ガバナンスを強化するために 許可された AMI が導入されました { "imageCriteria": [ { "imageProviders": [ "amazon", "aws-marketplace", "123456789012", "112233445566", ] } ] }
9. Amazon EC2 Allowed AMI 9 Amazon EC2 ダッシュボードの「アカウントの属性」から設定
10. Amazon EC2 Allowed AMI 10 Audit Mode（監査モード）の確認
11. Amazon EC2 Allowed AMI 11 「 Allowed AMI 」導入のベストプラクティス 1. 監査モードを有効にする 2. AMI の基準を決定・設定する 3. 予想されるビジネス（システム）への影響を確認する ◦ 影響を受ける Amazon EC2 の「起動テンプレート」の修正なども必要 4. 許可された AMI を有効にする 5. 継続的に問題がないかの確認・見直し AWSユーザーガイド：Control the discovery and use of AMIs in Amazon EC2 with Allowed AMIs - Amazon Elastic Compute Cloud
12. Amazon EC2 Allowed AMI 12 • 現在サポートされているのは「imageProviders」のみ ◦ 個別の AMI 指定はできないと思われる AWSユーザーガイド：Control the discovery and use of AMIs in Amazon EC2 with Allowed AMIs - Amazon Elastic Compute Cloud imageProvidersの有効な値 説明 amazon AWSによって作成されたAMI aws-marketplace AWS Marketplaceで検証済みのプロバイダーによって作成されたAMI aws-backup-vault AWS Backup Vaultに存在するバックアップ AMI AWS account IDs 任意のAWSアカウント none 自アカウントで作成された AMI
13. AWS Step Functions が Variables と JSONata の変換に対応 13 • Variables (変数) の利用によりステート内で値の引き渡しが不要に • JSONata は、JSON をクエリ・変換するための言語 ◦ 読み方は「じぇいそなーた」 関連ブログ： ・[アップデート] AWS Step Functions で変数が使えるようになりました ・ 「これでLambdaが不要に？！Step FunctionsのJSONata対応について」というタイトルでCM re:Growth 2024 OSAKAに登壇しました https://jsonata.org/
14. AWS Step Functions の JSONata 利用例 14 • JSONata で変換する例 • Web上の「JSONata Exerciser」で 動作確認が簡易にできる
15. AWS Step Functions の JSONata 利用例 15 • 従来はLambdaが必要だった整形処理がJSONataだけで実現できるケースあり • 従来のStep Functionsの乗算のステート（左図）とJSONataを利用したステート（右図） 引用元：AWS Step Functionsで組み込み関数だけを使って整 数の乗算を実装してみた（AWS CDK）
16. JSONata の利用例 16 • JSONataでできること ◦ 正規表現 ◦ 文字列操作 ◦ 日付操作 ◦ 四則演算 ◦ 簡単なプログラミング ▪ 変数の利用 ▪ 条件分岐の利用 ▪ 関数の定義 ▪ コメントの利用
17. ネットワーク
18. ネットワークのアップデートから紹介する内容 18 • Amazon VPC ブロックパブリックアクセスを発表 • Amazon CloudFront が VPC origins を発表 • Resource Configuration & Resource gateways ◦ AWS PrivateLink を介した VPC リソースへのアクセスが可能に
19. Amazon VPC ブロックパブリックアクセス 19 • VPC とインターネット間の通信をブロックをする機能 • 双方向とインバウンドのみ（インターネット → VPC）のブロックが可能 関連ブログ：ブロックパブリックアクセス(BPA)でインターネットアクセスを遮断してみた Bidirectional (双方向) のブロック Ingress-only (インバウンドのみ) のブロック
20. Amazon VPC ブロックパブリックアクセス 20 • VPC パブリックブロックアクセスはリージョン毎の設定 ◦ AWS Organizations の宣言型ポリシーを用いて組織 / OU 単位でまとめて設定も可能 • ブロック除外とする VPC の指定も可能
21. Amazon CloudFront VPC origins 21 • VPC のプライベートサブネットに存在するリソースからのコンテンツ配信を 可能にする新機能 ◦ プライベートサブネットの Application Load Balancer (ALB)、 Network Load Balancer (NLB)、また は EC2 インスタンスにアクセス 関連ブログ：CloudFront 新機能！VPCオリジンでプライベートなALBをセキュアに公開してみた
22. Amazon CloudFront VPC origins 22 • これまでの構成と新しく構築できる構成案のイメージ図 これまでの構成 新しく構築できる ようになった構成 ・CloudFront経由以外のアクセス をブロックする考慮が必要 ・グローバルIPアドレスが必要
23. Resource configuration & Resource gateways 23 • AWS PrivateLink で NLB を利用せずに他 VPC に TCP でアクセス可能に • 新しい機能である Resource configuration & Resource gateways を利用 これまでの構成 新しく構築できる ようになった構成
24. Resource configuration & Resource gateways 24 • Resource configuration & Resource gateways の利用イメージ
25. Resource configuration & Resource gateways 25 • Resource configuration & Resource gateways の利用イメージ ◦ ①：Resource gateway を作成 Resource gateway ①：Resource gateway 作成
26. Resource configuration & Resource gateways 26 • Resource configuration & Resource gateways の利用イメージ ◦ ①：Resource gateway を作成 ◦ ②：Resource configuration を Resource gateway と関連付けて作成 Resource gateway Resource configuration ①：Resource gateway 作成 ②： Resource configuration 作成 関連付け
27. Resource configuration & Resource gateways 27 • Resource configuration & Resource gateways の利用イメージ ◦ ①：Resource gateway を作成 ◦ ②：Resource configuration を Resource gateway と関連付けて作成 ◦ ③：VPC エンドポイント（「Resource」タイプ）を Resource configuration と関連付けて作成 Resource gateway Resource configuration ①：Resource gateway 作成 ②： Resource configuration 作成 Resource Configuration を指定 ③： VPCエンドポイント作 成 「Resource」タイ プVPCエンドポイ ント
28. Resource configuration & Resource gateways 28 • Resource configuration & Resource gateways の利用イメージ ◦ ①：Resource gateway を作成 ◦ ②：Resource configuration を Resource gateway と関連付けて作成 ◦ ③：VPC エンドポイント（「Resource」タイプ）を Resource configuration と関連付けて作成 Resource gateway Resource gateway ①：Resource gateway 作成 ②： Resource Configuration 作成 ③： VPCエンドポイント作 成 TCP 「Resource」タイ プVPCエンドポイ ント
29. Resource configuration & Resource gateways 29 • Resource configuration & Resource gateways のクロスアカウント利用イメージ
30. Resource configuration & Resource gateways 30 • Resource configuration & Resource gateways のクロスアカウント利用イメージ ◦ ①：Resource gateway を作成 ◦ ②：Resource configuration を Resource gateway と関連付けて作成 Resource gateway Resource configuration ①：Resource gateway 作成 ②： Resource Configuration 作成
31. Resource configuration & Resource gateways 31 • Resource configuration & Resource gateways のクロスアカウント利用イメージ ◦ ①：Resource gateway を作成 ◦ ②：Resource configuration を Resource gateway と関連付けて作成 ◦ ③：Resource configuration を RAM で共有 Resource gateway Resource configuration ①：Resource gateway 作成 ②： Resource Configuration 作成 共有 承認 ③：RAMで共 有
32. Resource configuration & Resource gateways 32 • Resource configuration & Resource gateways のクロスアカウント利用イメージ ◦ ①：Resource gateway を作成 ◦ ②：Resource configuration を Resource gateway と関連付けて作成 ◦ ③：Resource configuration を RAM で共有 ◦ ④：VPCエンドポイント（「Resource」タイプ）を Resource configuration と関連付けて作成 Resource gateway Resource configuration 「Resource」タ イプVPCエンド ポイント ①：Resource gateway 作成 ②： Resource Configuration 作成 ④： VPCエンドポイント作 成 共有 承認 Resource Configuration を指定 ③：RAMで共 有
33. Resource configuration & Resource gateways 33 • Resource configuration & Resource gateways のクロスアカウント利用イメージ ◦ ①：Resource gateway を作成 ◦ ②：Resource configuration を Resource gateway と関連付けて作成 ◦ ③：Resource configuration を RAM で共有 ◦ ④：VPCエンドポイント（「Resource」タイプ）を Resource configuration と関連付けて作成 Resource gateway Resource configuration ①：Resource gateway 作成 ②： Resource Configuration 作成 ④： VPCエンドポイント作 成 共有 承認 TCP ③：RAMで共 有 「Resource」タ イプVPCエンド ポイント
34. Resource configuration & Resource gateways 34 • SSH を利用する場合の接続イメージ
35. ストレージ
36. ストレージのアップデートから紹介する内容 36 • AWS Transfer Family web apps を発表
37. 37 • S3 へのファイルアップロード/ダウンロードを GUI で提供する新機能 ◦ 例えば、特定 S3 に対してファイルをアップロードするだけのユーザーへの手段提供に便利 ◦ マネジメントコンソールにアクセスすることなくファイル操作ができる • ユーザー管理にアカウントインスタンスの AWS IAM Identity Center を利用可 AWS Transfer Family web apps アカウントインスタンスの AWS IAM Identity Center （AWS Organizations 環境以外でも利用可能） AWS Transfer Family web apps
38. 38 • 利用イメージ ◦ ユーザーはマネジメントコンソールにアクセスすることなく権限のある S3 バケットを操作可能 ◦ AWS IAM Identity Center のユーザーを作成する必要はあるが、IAMユーザーは不要 AWS Transfer Family web apps
39. 39 AWS Transfer Family web apps 構築の流れ 1. AWS Transfer Family Web App を作成 2. S3 Access Grants で利用する IAM ロールを作成 ◦ Configure IAM roles for Transfer Family web apps - AWS Transfer Family 3. S3 Access Grants を作成 ◦ インスタンスを作成 ◦ ロケーションを作成（IAM ロールを指定） ◦ AWS IAM Identity Center を関連付け ◦ ユーザーに対する権限を設定 4. 対象の S3 バケットの Cross-Origin Resource Sharing (CORS) ポリシーを設定 ◦ Set up Cross-origin resource sharing (CORS) for your bucket - AWS Transfer Family AWS Transfer Family web apps 関連ブログ：Announcing AWS Transfer Family web apps for fully managed Amazon S3 file transfers | AWS News Blog
40. データベース
41. ストレージのアップデートから紹介する内容 41 • Amazon Aurora DSQL を発表 • Oracle Database@AWS の限定プレビューを開始
42. Amazon Aurora DSQL（プレビュー） 42 • Active-Active で⾼い可⽤性を備えた分散 SQL データベースのサービス ◦ 事実上無制限のスケーラビリティ • PostgreSQL 互換 • マルチリージョンで強い整合性を提供 • 現在、東京・大阪リージョン未提供 引用元：Amazon Aurora DSQL の紹介 | Amazon Web Services ブログ 関連ブログ：Aurora DSQLの楽観同時実行制御を手を動かして学ぶ
43. Oracle Database@AWS（プレビュー） 43 • AWSとOracle の協⼒による新しいサービス ◦ 2024年9月12日に オラクルと Amazon Web Services、戦略的パートナーシップを発表 • AWS のデータセンター内に設置された Oracle Cloud Infrastructure (OCI) が 管理する Exadata インフラで動作する Oracle Database Service を利⽤可能 • 限定プレビューのため利用には申請が必要 ◦ 現在、東京・大阪リージョン未提供 関連ブログ：公開情報のみでプライベートプレビューの Oracle Database@AWS を掘り下げてみた
44. Oracle Database@AWS（プレビュー） 44 • 右図が仕組み • AWS のデータセンター 上に構築 • コントロールプレーン は OCI 側にある • ODB ピアリングはVPC ピアリングとは異なる 仕組み 引用元：How Oracle Database@AWS works - Oracle Database@AWS
45. その他のアップデートの参考情報
46. AWS 公式の re:Cap 46 資料（PDF）：AWS-Black-Belt_2024_AWS-reInvent_1206_v1.pdf 動画（YouTube）：AWS Black Belt Online Seminar 2024 年 AWS re:Invent 速報 #AWSDevLiveShow #AWSBlackBelt - YouTube
47. クラスメソッド re:Growth 2024 47 • 東京・大阪・福岡・札幌で AWS re:Invent ふりかえり勉強会を開催 • YouTube 動画 ◦ [東京] AWSパートナー国内最多の全認定資格保有者！クラスメソッドが選ぶ #reinvent 2024 注目アップデート ◦ [大阪] AWS re:Invent 2024 ふりかえり勉強会「クラスメソッド re:Growth 2024 大阪」 • 登壇フログ ◦ クラスメソッド re:Growth 2024 の記事一覧