こんにちは、上野です。 AWS Control TowerのLanding Zone 3.0がリリースされました。 変更内容が多いですが、ざっくりまとめると以下のとおりです。 組織レベルのAWS CloudTrail証跡が設定可能になった CloudTrailの設定をControl Towerからオプトアウト可能になった（オプトアウトした場合は独自で設定する必要あり） CloudTrailで各アカウントに出力されていたCloudWatch logsは、マネジメントアカウントに集約される CloudTrailアップデートに伴い、Control Towerが管理するIAMポリシーAWSControlTowerServiceRolePolicyの内容変更 AWS Config のグローバルリソースの記録がホームリージョンのみに変更 リージョン拒否ガードレールの変更（許可対象グローバルサービスの追

Amazon Web Services (以下AWS)の利用開始時にやるべき設定作業を解説します。AWSの利用開始とは、AWSアカウントの開設を意味しますが、より安全に利用するため、AWSアカウント開設直後にやるべき設定がいくつかあります。この連載ではその設定内容を説明します。 AWS Organizationsを使用することで、複数のアカウントに自動的にこういった初期設定を行うことも可能ですが、この連載では新規で1アカウントを作成した場合を前提とします。複数アカウントの場合も、基本的な考え方は同じになります。 設定作業は全１９個あり、作業内容の難しさや必要性に応じて以下３つに分類しています。 少なくともMUSTの作業については実施するようにしましょう。 MUST ：アカウント開設後に必ず実施すべき作業 SHOULD ：設定内容の検討または利用方法を決定のうえ、可能な限り実施すべき作業 B

2021/11/17 に行われた下記AWSイベントの登壇資料です。 なぜあの会社は少人数でもシステム運用ができるのか？ 〜工夫を凝らし効率的に運用しているお客様事例祭り https://awsonlineseminar.splashthat.com/

aws configure でアクセスキーを手打ちせず aws configure import で CSV ファイルからインポートしてみた コンバンハ、千葉（幸）です。 AWS CLI （など）を使用するためにアクセスキーを設定する際、皆さんは以下のような手順をとるのではないでしょうか。 「ひとまずaws configureを叩く。」 $ aws configure ↑（--profileオプションを付与すれば名前付きプロファイルへの設定となりますが、デフォルトではdefaultというプロファイルに対する設定となります。） 「各項目の入力が促されるため、必要な項目を入力していく。」 $ aws configure AWS Access Key ID [None]: #アクセスキーを入力 AWS Secret Access Key [None]: #シークレットキーを入力 Default

こんにちは、最近はAWS Control Towerばかり触っている上野です。 Control Towerの検証を進める中で色々と中身が見えてきたこともあり、個人的に嬉しいポイントと注意ポイントをまとめてみます。 導入検討をされている方、参考となれば幸いです。 Control Towerとは？ 詳細は以前書いた記事でまとめています。 東京上陸！AWS Control Towerを触ってマルチアカウント管理のベストプラクティスを理解する ～セットアップ編～ - NRIネットコム Design and Tech Blog 【Part2】東京上陸！AWS Control Towerを触ってマルチアカウント管理のベストプラクティスを理解する ～運用編～ - NRIネットコム Design and Tech Blog AWSのベストプラクティスに基づいたセキュアな状態の新規アカウントのセットアップと

「Conformityを利用する事で簡易に継続的なセキュリティコンプライアンス対応状況の確認ができる！」を登壇しました。 こんにちは、コンサル部＠大阪オフィスのTodaです。 先日「AWS コンサルティングパートナーがお伝えする最先端のクラウドセキュリティ対策–S3のファイルは安全ですか？AWSの設定は安全ですか？」で Cloud One Conformityの内容について登壇をいたしました。 登壇内容についてご紹介したいと思います。 登壇資料 設定管理の重要性 AWSやAzureなどクラウドサービスではインフラストラクチャの展開、設定が簡単におこなえるため設定時には注意を払う必要がございます。 ただ、人による操作は100％ミスをなくすことは難しいと考えておりますのでシステムによる設定の監視と可視化をおこなう、クラウドセキュリティポスチャマネージメント(CSPM)のソリューションがサードパ

コンバンハ、千葉（幸）です。 2021/4/27 に、JAWS-UG 初心者支部 #36 が しくじり LT というテーマで開催されました。 イベントの概要はこちら。 AWS初心者がやってしまいがちな失敗談を募集します。 過去の失敗事例 初心者が落ち入りそうな事例 初心者が不安に感じそうだけど、XXすれば大丈夫だよ。というセーフティネット的な事例 ハンズオンで高額請求きちゃった事例 失敗は成功のもと！！ みなさんの失敗例を、活かして頂ける場になれば幸いです！！ 次回以降のハンズオン初心者のアドバイスになるネタがあれば嬉しいです！！ ホットなしくじりを持つ AWS 初心者のわたしは、ここぞとばかりに申し込み、登壇することにしました。 プロローグ やぁ、僕はどこにでもいる平凡なエンジニア。ある日 急に、IAM ロールを 1000 個作りたいな、って思ったんだ。みんなもきっとそんなこと、あるよね

本記事では、AWS環境でRedashを動かす場合に、ECSを使う例を紹介します。 できるだけ、手間をかけずにセットアップしたいため、Terraformとecspressoを使用します。 これらのツールを使われていない方でもRedashをECSで動かす参考になると思います。 公式によるRedashのセットアップ方法は以下です。 github.com 公式のセットアップ方法では、コンテナの環境にPostgreSQLなどのDBが含まれています。運用を考えると、DBはRDSを使いたいと考えます。 今回は、Redashで必要な各種DBはAWSのマネージドサービスを使い、プログラムはECSで動かすという例を紹介します。 ソースは以下にあります。 github.com 使用するツールについて Terraform ecspresso Terraformとecspressoの組み合わせはとても良くて、Ter

久しぶりに使うAWSのprofileがありまして、そのprofileについての記憶が失われていた結果、コマンド実行成功までに時間を溶かしてしまいました。 というのも、私は普段使うprofileではaswrapでAssumeRole（と多要素認証）を透過的に便利に実行していた結果、IAMの認証設定については何も考えなくなっていて「とりあえず aswrap 」を実行していました。 そして、 $ AWS_PROFILE=myaws aswrap aws s3 ls An error occurred (AccessDenied) when calling the ListBuckets operation: Access Denied 「あれ？認証情報無効にしたっけな 🤔」とか、トンチンカンな推測をしていました。 よくよく確認してみたらそのprofileは「MFAは必須だがAssumeRole

「AWS環境のセキュリティが不安だ…」そんな方にはセキュリティチェック！AWSでは定量的にチェックすることができる機能があります。いくつかあるので長短などを説明しつつ私が思う最強のセキュリティチェックを伝授します！ こんにちは、臼田です。 みなさん、AWS環境のセキュリティチェックしてますか？(挨拶 全国のAWSのセキュリティについて悩んでいるみなさまのために、今回は僕の考える最強のAWS環境セキュリティチェックについて情報をまとめ・伝授します。 初心者向けに、比較的AWSの経験が浅くても始めやすいように、かつ上級者が応用するために活用できる情報もぜんぶまとめていきます。 この記事は2020年の決定版となるでしょう！(それ　いいすぎ。 ながーくなってしまったので最初は適宜飛ばして読むといいかもしれません。 AWS環境のセキュリティチェックの意義 AWS環境でセキュリティチェックをすることは

zozotech-inc.connpass.com ZOZOタウンで買い物したことなくて恐縮ですが、テクノロジーとしてはとても魅力ある企業ですね。 AWS Configを用いたマルチアカウント・マルチリージョンでのリソース把握とコンプライアンス維持への取り組みについて 講師：株式会社ZOZOテクノロジーズ 技術開発本部 SRE部 テックリード 光野 達朗(@kotatsu360) speakerdeck.com QA 通知を受け取った後の対応はどうしてるんですか？ 実験的に見ているところなので自身で見てプロダクトチームへ連絡している。 プロダクトチームへ直接通知を検討中。 今後設定したいルールってなんですか セキュリティに対して強く効果がある部分。ssh ポートをインターネットに公開してないかなど。 次にログに関して。「Aでは出てlB出だしてない」とかの状況にならないように、アカウントでロ

コンサル部＠大阪オフィスのYui(@MayForBlue)です。 今回は EC2 に CloudWatch エージェントをインストールして SSM ( AWS Systems Manager ) を使って起動する方法をご紹介します。 わりと初歩的な内容かな？と思うのですが、個人的にハマりどころが多かったので手順を残しておきたいと思います。 構成 今回はパブリックサブネットに構築したEC2インスタンスにCloudWatchエージェントをインストールします。 EC2 インスタンスからインターネットゲートウェイを経由して CloudWatch にログをプッシュします。 なお、EC2 インスタンスから CloudWatch にログをプッシュするためにはアウトバウンドのインターネット接続が必要になります。 やってみる 前提条件 EC2インスタンス、インターネットゲートウェイは構築済みとします。 また

TL;DR eksctlを使うときはライフサイクルを意識しましょう VPC周り クラスタやIAM（ALB） アプリケーション（ALB） eksctlとは eksctlはWeaveworksとAWSが共同で開発を進めているEKSを管理するための公式ツールである。 リポジトリ github.com ドキュメント eksctl.io ここでは詳しく解説しないが、とても便利でコマンド一発でなんとなくK8sクラスタが立ち上がる。 また、公式ツールであるがゆえにEKSのアップデートに対する追従も早く、EKSのほとんどの機能に対応している。 EKSを触ったことがある人なら一度は触ったことはあると思うし、聞いたことはあると思う。 eksctlは難しいという話（前置き） eksctlでは config.yaml というファイルでEKSに必要な設定を管理することができる。 ざっとあげつらねるだけでこのくらいは

WafCharmは世界中のWebに対する攻撃パターンをAIによって学習し、環境に応じたアクセスのパターン等を判別し、AWS WAFのルールを最適化してくれるサービスです。これにより、ルール設定や運用に関する工数削減を実現することができます。 今回は、そんなWafCharmを導入する際の設定で、知っておいた方がよさそうな点についてまとめてみました。 なお、本記事ではAWS WAF v2 （以下、AWS WAF）での利用を前提としておりますので、AWS WAF Classicで利用する際はこの通りでない可能性がありますのでご注意ください。WafCharm利用における、AWS WAF Classic、AWS WAFの変更点等については以下をご確認ください。 WafCharm が new AWS WAF に対応しました WafCharm設定の流れ WafCharm利用までの設定をざっくりお伝えしま

園部です。 Systems Manager（以下 SSM）では、マネージドポリシーがいくつか用意されています。中でも以前からあった AmazonEC2RoleforSSM は多くの機能が利用可能なため、ご利用の方も少なくないかと思います。ただし、このポリシーは若干広い権限を保有しているため、昨年よりシンプルなポリシーが提供され、移行が推奨されました。 改めて AWS Blog でポリシーの見直しについて解説および作業例が紹介されていましたので、読み進めながら自分の環境をチェック＆改善したいと思います！ まだやっていないなという方は、是非状況の可視化（対象ポリシーの利用状況）だけでも実施されることをお勧めいたします。 前置き 何がおきるの？ 明確な時期は確定していませんが AmazonEC2RoleforSSM が非推奨となるとドキュメントに記載がされています。翻訳によっては廃止と訳される場

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

この記事は Akatsuki Advent Calendar の 16 日目の記事です。 アカツキでエンジニアをしているe__komaと申します。 今年はAWS Summit TokyoやAmazon Game Developers Conference などを始め、色んなところでAWS運用を紹介させていただいております。 今回もそんなAWS運用話の1つです。 AWSアカウントが増えてくると、統制をとるのが大変ですよね。AWS Configを使えばポリシー違反のリソースを検知し、システム監査を自動化することができます。 この記事では、IAMユーザのIP制限を題材に、AWS Configのカスタムルールを作成する事例をご紹介いたします。 経緯 弊社ではEC2 IAMロールを利用したり、一時的な認証情報を利用することで、極力IAMユーザを作らない運用を目指しています。 一方で、各種サードパーテ

はじめに AWSにはアカウントやリソースへの脅威検知に対応した、AWS IAM Access Analyzer, AWS Security Hub, Amazon Detective, Amazon Inspector, Amazon GuardDuty, AWS CloudTrail, AWS Config などのサービスが用意されています。 また、AWS Security Hub では、CIS AWS Foundations Standard , Payment Card Industry Data Security Standard , AWS Foundational Security Best Practices Standard などのセキュリティ標準が公開されており、このガイドラインは、AWSアカウントをセキュアに保つために必要なAWSのセキュリティ設定を集めたベストプラクテ

一般的には、複数のAWSアカウントを持っている場合 aws configure --profile <profile> で aws cli の設定をすると思うが、これだとあらゆる aws コマンドを打つたびに --profile <profile> オプションでプロファイル名を指定しないといけないのでめんどくさい。 シェル毎に別のプロファイルをデフォルトで指すことができるようにして、tmux のウィンドウ毎にプロファイルを切り替えたい。 関連: gcloud でシェル毎にプロジェクトの切り替え設定 AWS_DEFAULT_PROFILE, AWS_PROFILE AWS_DEFAULT_PROFILE および AWS_PROFILE 環境変数でデフォルトプロファイルを切り替えられるので、この環境変数をシェル毎に設定しなおせば良い。ツールによってどちらの環境変数が参照されるかまちまちなような

Cy#の河合です。昨年12月に、『MagicOnion』というライブラリのリリースを告知しました。今回、再びオープンソースライブラリとして、C#のためのCLI/Batchライブラリをリリースしました。 [GitHub – Cysharp/MicroBatchFramework] .NET CoreになってWindows／Mac／Linux問わずクロスプラットフォームなアプリケーション開発環境として機能するようになったC#ですが、そして機能的には十分揃っているのですが、ちょっと気の利いたフレームワークは意外と欠けているところがあります。バッチ・コマンドラインアプリ。というと地味なトピックスですが、ゆえに基本機能以上のサポートがなかったりします。しかし、「C#の可能性を切り開いていく」という理念を掲げるCy#としては、派手・地味を問わず、現状のC#に欠けているものを埋めていくことで、C#がアプ