これは SMat Advent Calendar 2024 の12/12分の記事です。 株式会社エスマットでエンジニアをしている potix2です。 私たちの開発環境はこれまでIPアドレスによるアクセス制限を採用していましたが、よりセキュアかつ柔軟なアクセス管理を実現するため、Cloudflare Accessの導入を決定しました。この記事では、その移行プロセス、遭遇した課題、および解決策について詳しく説明します。 なぜCloudflare Accessを導入したのか 従来のIPアドレスに基づくアクセス制限は、その単純さから選ばれていましたが、最近のオフィス移転に伴い、固定IPアドレスの利用が不可能になりました。この変化は、セキュリティとアクセシビリティのバランスを再考させる重要な要因となりました。特に以下のような課題がありました。 固定IPアドレスの喪失：オフィス移転により、以前に利用し

導入 本記事では以下を記載します。 「VPCとAWSサービス間の接続」や「VPCと外部との接続(PrivateLink使用可能)」において、 VPCエンドポイントを使用するべきか、もしくはNAT Gatewayを使用するべきかを セキュリティ面と費用面から比較してみます。 セキュリティ面 VPCエンドポイント VPCエンドポイントを使用すると、VPCとAWSサービス間の通信をインターネットを経由せずに直接接続することができます。 最近はVPCエンドポイントを用いて接続できるSaaSも増えてきています。 外形監視のNew Relicも一部リージョンでPrivateLinkによるサービスが開始されました(※東京リージョンは対象外)。 https://docs.newrelic.com/jp/docs/data-apis/custom-data/aws-privatelink/ PrivateL

実現したいこと 既存のAWSのバックエンドシステムにおいて、コスト削減のため開発環境とステージング環境のNATゲートウェイ（NAT Gateway）を夜間と休日の間は停止させるべく、NATゲートウェイを起動・停止させるLambdaを作成します。 待て、まだコードを書こうとするな 「NATゲートウェイ　自動　停止」とかで検索すると少ないながらもいくつか記事が出てきますが、理解せずにそれをまるまるコピペして実行させるだけではうまくいかないことが多いですし、望まないNAT削除をしてしまう可能性があります。 NATゲートウェイ、ルートテーブル、Elastic IPなどが自分の開発しているシステムではどのように設定されていて、どのリソースを操作すれば良いかをちゃんと理解する必要がありました。 こちらは開発していたシステムの構成図を、NATゲートウェイ周りだけを抽出して描いたものです。 手描きでごめん

こんにちは、AWS 事業本部の平木です！ 本日、愛知県豊橋市の BASE CAMP KITI にて開催された JAWS-UG 東海道主催の JAWS ミート 2024 にて、「踏み台の運用が変わる？ VPC 上で起動できるようになった CloudShell を語る」というタイトルで登壇したため登壇資料を公開します。 登壇資料 登壇内容 イントロダクション 皆さんは踏み台サーバを運用していますか？ 踏み台サーバを運用しようと思うといくつか悩みの種が出てきます。 少し RDS へ接続したいだけの踏み台サーバなのに EC2 を停止しても EBS の料金が発生してしまう 踏み台サーバの分、脆弱性対策の対象が増えてしまう EC2 を構築する際に申請が必要な場合、わざわざ申請が面倒 など微妙に面倒に感じることないでしょうか。 そんな悩みを解決するかもしれないアップデートを今回ご紹介します。 ※当該ブロ

https://enog.jp/archives/2828 ENOG81で発表したスライドです。

マルチクラウド展開にまつわる既成概念を覆すより データ転送では、特に長距離の場合にレイテンシ（遅延）が問題になることがありますが、現在はすべてのクラウド・プロバイダーがそれぞれの物理インフラストラクチャを互いの近くに配置（専門用語では「コロケーション」）しているため、これはさほど問題となりません。この近接性（場合によっては同一コロケーション施設内の別の部屋）は、クラウド間のレイテンシがミリ秒単位であることを意味します。それに加え、クラウド・データセンター・リージョンは世界中で増加しており、クラウド・リージョン間の距離は縮まっています。 という事で、レイテンシ(遅延)について、まとめてみてみます。 ■ Agenda レイテンシ(遅延)とスループット(帯域幅) レイテンシと TCP の動作 帯域幅遅延積(Bandwidth-Delay Product) TCP Window Size の調整と

はじめに オンプレミス環境とクラウド環境のハイブリッド構成、かつマルチアカウント構成で、VPCエンドポイントを1つのVPCに集約する作業を行いましたので、その概要をまとめました。 実際の構築では、構築手順が記載された記事を参考にしましたので、本記事では構成内容の説明に留め、実際の構築手順については参考にした記事を紹介します。 VPCエンドポイントの集約 集約構成は以下の通りです。各アカウントのVPCは、東京リージョンの想定です。 今回は例として、S3向けのインターフェース型VPCエンドポイントの集約にしました。以下の記事に記載されているSQSなどの他のサービスのVPCエンドポイントでも集約が可能です。（ゲートウェイ型は集約不可） 共通アカウントでRoute 53 Resolver インバウントエンドポイントとVPCエンドポイントを作成し、VPCエンドポイントを集約しています。 オンプレミス

はじめに お久しぶりです、iselegantです。 今回はAWSアーキテクトの目線から、多様なGoogle Cloud Load Balancingの世界を紹介してみたいと思います。 昨今、担当業務やプロジェクトによってはAWSのみならずGoogle Cloudを活用したり、マルチクラウドとして両方扱うエンジニアの方も多くなってきたのではないでしょうか？ 特に、SI企業に所属する人においては、担当プロジェクトや業務、お客様が変われば利用するクラウドサービスも変わる、なんてこともよくあると思います。 私もその道を辿ってきた一人です。 現在ではクラウドサービス間においてもある程度のコモディティ化が進んでおり、ある一つのクラウドサービスに精通すると、他のクラウドサービス利用時におけるメンタルモデルが出来上がり、システムを構築する際に前提の知識や経験が大いに役立つはずです。特にAWSはサービスの幅

この記事はTech KAYAC Advent Calendar 2023の8日目の記事です。 こんにちわ。その他事業部SREチームの@mashiikeです。 最近、風変わりな記事を連投しているのですが、今回も風変わりです。 ひとことで要約すると、 私は！Github Actionsから！Redshiftにアクセスしたいんだ！！！ です。 TL;DR dbtのCIを実現したい。ローカルのunit-testはできてるんだが、Github ActionsからRedshiftへのアクセスに難がある。 Github ActionsからRedshiftにアクセスするために頑張ってみた。 kayac/ecspressoで踏み台となるECS Taskを立ち上げる。 fujiwara/ecstaでportforwardingする。 mashiike/redshift-credentials で一時認証情報を

i. アタッチされていない不要なElastic IPアドレスが無いか確認する これは今回の料金体系が適用される前にも有効な対策です。（現時点でも課金対象のため） 「1.現状把握」章でも紹介しておりますが、まずはアタッチされていない不要なIPv4アドレスが無いか、Amazon VPC IP Address Manager (IPAM)から確認します。 関連付けれていないEIPが想定より多い場合は削除を検討します。 「不要な」と記載した通り、将来的に利用を想定しているEIPは誤って消さないように注意しましょう。 また、ただ単純にEC2へのSSH/RDPのためにIPv4アドレスを利用している場合は、Systems Manager Fleet Managerや、EC2 Instance Connect Endpointを代替利用できる可能性があります。 アタッチされているIPv4アドレスに対しても

はじめに 注意事項 前提知識 AWSのASのみを経由しているので、AWSグローバルネットワークに留まるとは？ 特別なIPアドレス 検証方法 先に検証結果 リージョンAのインスタンスからリージョンBにあるインスタンス リージョンAのインスタンスからリージョンAにあるAWSサービス リージョンAのインスタンスからリージョンBにあるAWSサービス リージョンA内のインスタンスからエッジロケーション リージョンA内のインスタンスから中国リージョンのS3サービスエンドポイント おわりに はじめに VPCのよくある質問に以下のような文章があります。 Q:2 つのインスタンスがパブリック IP アドレスを使用して通信する場合、またはインスタンスがパブリックな AWS のサービスエンドポイントと通信する場合、トラフィックはインターネットを経由しますか? いいえ。パブリック IP アドレスを使用する場合、A

はじめに AWS上で仮想ネットワークを構築できるAmazon VPCは、多くのAWSサービスが動作する基盤となる、非常に重要かつ多機能なサービスです。 多機能ゆえに公式ドキュメントやネット上の記事も断片的な機能の解説が多く、全体像を把握することが難しいサービスとも言えます。 そこで本記事はVPCの全体像を理解できるよう、各機能のつながりや動作原理を丁寧に解説し、 「VPC界の百科事典」 (あくまで例えですが…笑) となるような記事を目指したいと思います。 【追記】 実践編の記事を追加しました VPCの実画面での構築方法は、以下の別記事にまとめました。「VPCを実際に触ってみたい！」という方は、こちらもご一読いただけると嬉しいです。 VPCとは 「Virtual Private Cloud」の略で、クラウド上に仮想的なネットワークを構築するためのサービスです。 例えば、オンプレ環境でWebア

AWSとオンプレミスと繋ぐときに知っておきたいルーティングの基礎知識。 JAWS DAYS 2021の発表資料です。

こんにちは、技術2課の加藤ゆです。 配属から1か月、Direct Connect（DX）の実務経験は無い状態ですが、最近DXと触れ合う機会がありました。DXって物理線なんでしょ◎と思っていたら意外と奥深かったので書き記します。 AWS Direct Connect (DX) とは 物理接続 Direct Connect Location 論理接続 物理接続と論理接続の関係 Virtual Interface (VIF) VIFの使い方 Direct Connect Gateway ( DXGW ) DXGWとは DXGWを利用しない場合 感想 参考資料 元々私のDXのイメージはこんな感じでした。専用線！！ドーーン 色々違いました。 AWS Direct Connect ＝ オンプレミスと物理専用線で接続するサービス なのですが、Direct Connectを利用するにはこれだけの理解では不

/proc/net/netstatを頑張って理解していく。ドキュメントないものをどうやって調べていくかはちょっと悩む... netstat グラフに出てくる項目 概要 TcpExtSyncookiesSent tcp.syncookies.sent 送信されるSYNクッキーの数 TcpExtSyncookiesRecv tcp.syncookies.recv TCPスタックが受信するSYNCookieの応答パケットの数 TcpExtSyncookiesFailed tcp.syncookies.failed SYNCookieからデコードされたMSSが無効 TcpExtEmbryonicRsts tcp.misc_errors.embryonic_rsts SYN_RECV状態の接続に対して受信された無効なパケット TcpExtPruneCalled tcp.misc_errors.pru