デジタル庁は10月26日、日本政府の共通クラウド基盤「ガバメントクラウド」として、「Amazon Web Services」と「Google Cloud Platform」を選んだと発表した。「公募に3社の応募があったが、セキュリティや業務継続性など350の項目を満たした2社を選定した」（同庁）という。 デジタル庁は今後、同庁のWebサービスなどをAWSとGCPで構成したマルチクラウド基盤に構築。他省庁の新システムなども、クラウド移行を行う場合はガバメントクラウドの活用を検討する。自治体のシステムの提供基盤も2025年度末までに共通化し、政府・自治体間のデータ移行や、既存システムの機能拡張をしやすくするとしている。 クラウド化により、各自治体のサーバ導入・運用コスト削減も見込む。複数の民間事業者がガバメントクラウド上に業務用アプリなどを開発し、自治体が状況に合わせて導入を判断できるようにす

よく訓練されたアップル信者、都元です。CloudTrailは、AWS APIの全ての呼び出しについて、それを行った主体（principal≒ユーザ）やIPアドレス、リクエストやレスポンスの詳細を記録し、そのログをS3に出力してくれるサービスです。このサービスがあることにより、不正アクセスがあった場合の追跡が可能になります。また「記録されているから悪事は働けない」という心理的な予防効果も期待できます。 CloudTrail自体を狙われる危険性 しかし、この証跡ログはS3のバケットにファイルとして配信されるため、悪意のあるユーザによる証拠の隠滅の可能性を考慮しなければなりません。 まず、全リージョンでCloudTrailを有効にした後は、CloudTrail自体の停止を禁止する必要があります。そんなポリシーステートメントはこちら。CloudTrailへの状態変更を行うアクションについては明示的

Stay up to date with the latest from the Knowledge Center. See all new Knowledge Center articles published in the last month, and re:Post’s top contributors. 解決策 IAM ポリシーを使用して、IAM ユーザーが Lambda 関数を作成、削除、変更、呼び出し、監視したり、Lambda 関数の設定を確認したりするためのアクセス許可を設定します。 以下のポリシー例では、リソースレベルのアクセス許可をサポートする Lambda API アクションは、Resourc 要素にリストされている特定の Lambda 関数に制限しています。API アクションの Condition 要素を使用すると、IAM ポリシー内の Lambda 関数を識別でき

AWS Lambdaは2015年の10月からバージョン管理機能に対応し、この機能を有効化すると、コードをバージョン管理できるようになりました。 残念なことに、Lambda関数をバージョン管理しても、管理コンソールからは最新版のコードしか取得出来ません。 そこで今回は、コマンドライン(AWS CLI)からバージョン・エイリアスを指定してLambda関数をダウンロードする方法を紹介します。 バージョン管理されたLambda関数 例として、バージョン管理された Lambda 関数 "test" に対して 3 4 $LATEST の版が存在し、エイリアスとして「prod」が版「3」を指しているとします。 Lambda 関数のバージョニング・エイリアス機能については、次のページをご確認ください。 http://docs.aws.amazon.com/lambda/latest/dg/versioni

AWS Summits 2018 | San Franciscoにて突如発表された、AWS Secrets Manager。自分も速報記事（【完全新機能】DB認証情報やOAuthキーを一元管理可能なAWS Secrets Managerが発表されました！）書いて以降、あれこれ触ってみています。 この記事では、これからAWS Secrets Managerを触ってみようという人に向けて、公式ドキュメントの内容を中心に、その概要と動作原理、各種チュートリアル、詳細を学ぶためのリソースをまとめてみました。 とりあえず読んでおいてもらえれば、幸せになれるかと思っております。 目次 各種リソース AWS Secrets Managerとは？ AWS Secrets Managerの主要機能3点 AWS Secrets Managerの動作原理 AWS Secrets Managerのローテーション機

「なんか出た！　便利そう・・・だけど、ほんま使えんの？」 先日のAWS Summits 2018 | San Franciscoで発表された、AWS Secrets Manager、もう皆さんお使いでしょうか？ 速報はこちら。 【完全新機能】DB認証情報やOAuthキーを一元管理可能なAWS Secrets Managerが発表されました！ 直後に、AWSコンソールとドキュメントが公開され、チュートリアルで実際に手を動かして試してみたので其の様子をお届けします。シークレット情報の更新と共に、RDSのパスワードも同期的に更新され、アプリケーション影響無しに認証情報を定期的に更新できるのは、なかなかおもしろいです。 やってみて感じた運用上の注意点も最後に記載しているので、AWS Secrets Manager、「実際どんなもんやねん」と気になる方は是非目を通していただければと思います。 「AW

Amazon RDS リソースの暗号化オプションを有効化すると、AES-256 暗号化アルゴリズムにより以下のデータを暗号化することができます。 ※対応しているインスタンスクラスや制限事項についてはAmazon RDS リソースの暗号化をご確認ください。 DB インスタンス 自動バックアップ リードレプリカ スナップショット ログ 暗号化オプションはDB インスタンスの作成時にのみ有効にすることができ、作成後のインスタンスでは有効にすることができません。ただし暗号化されていないスナップショットのコピーは暗号化することが可能です。 そのため暗号化してコピーしたスナップショットから暗号化されたインスタンスを復元することができます。 今回は、暗号化していない既存インスタンスを暗号化オプションを有効化にしたインスタンスにする方法をご紹介します。 要件 MySQLエンジンの暗号化オプションを有効にし

「このRDS、暗号化できたらいいのにな」ってこと、ありませんか？ ネットセキュリティ対策が求められる昨今、稼働中のRDSが「暗号化」されていないものも多少なり存在していると思います。 コンプライアンス要件の達成も含め、掲題のようにお考えの方もいいらっしゃるのではないでしょうか？ そこで今回は、稼働中のRDS暗号化の方法・手順をご紹介します。 RDSを暗号化するメリット 文字通り、RDSのデータ保護が最大のメリットになります。 万一、AWSデータセンタへ不正アクセスや侵入被害にあった場合に効力を発揮しますので、リスクヘッジとしては大きな役割を担います。 ※XSSなどによるアプリケーションの脆弱を突かれた場合、RDS暗号化では侵入・漏えいは防げません。 一方で暗号化によるRDSパフォーマンス低下が気になるところですが、大幅なパフォーマンス低下はなさそうです。それでも不安という方は、負荷テストを

こんにちは、虎塚です。 先日のCM re:Growth Developers.IO Meetup 11 Tokyo で「10分でわかるKey Management Serviceの仕組み」という発表をしました。今日は、イベントに参加されなかった方がご覧になっても内容が伝わるように、発表内容を記事に起こしてみました。 はじめに Key Management Service（KMS）は、先月開催されたre:Invent 2014で発表された新サービスです。すでに全リージョンで利用できます。このサービスを使うと、データの暗号化/復号用の鍵をAWS上で管理できます。 ところで、KMSのAPIドキュメントを流し読みすると、マスターキーとデータキーという言葉が出てきます。そうです、KMSが扱う鍵は2種類あるんですね。 2つの鍵の違いは何か？ どう使い分けるのか？ などが、ぱっと見ではわかりづらいかもし

当エントリはDevelopers.IOで弊社AWSチームによる2015年アドベントカレンダー『AWS サービス別 再入門アドベントカレンダー 2015』の5日目のエントリです。 昨日4日目のエントリはしんやの『Amazon Redshift 』でした。 このアドベントカレンダーの企画は、普段AWSサービスについて最新のネタ・深い/細かいテーマを主に書き連ねてきたメンバーの手によって、今一度初心に返って、基本的な部分を見つめ直してみよう、解説してみようというコンセプトが含まれています。 本日5日目のテーマは『Amazon Key Management Service』です。 Amazon KMSとは Amazon Key Management Service(AWS KMS)はデータの暗号化に使用する暗号化キーを簡単に作成および管理できるマネージドサービスです。 以下のような特徴があります

よく訓練されたアップル信者、都元です。 Amazon Route 53は、AWSが提供するDNSサービスです。通常、ドメインを取得すると、ドメインレジストラからDNSがサービスで提供されることが多いと思います。費用は大抵ドメイン代に含まれていて、追加費用は無いことが多いです。しかしAWSで利用するドメインは、下記のような理由から、ドメインのオマケで付いてくるDNSではなく、Route 53を利用するメリットが大いにあります。 無料じゃないとは言え、とにかく安い。Route 53のコストが月10ドル超えるような人気サービスを作れたら勝ち組です。 プログラマブルである。レコードの定義と書き換えをスクリプトで実行できる。デプロイの自動化に寄与。 CloudFormationからレコードの定義と書き換えができる。まぁ↑とほぼ同じことを言ってますが。 SLAは100%（！？） ELB, CloudF