トップ > AWS > S3のVPC Endpoint経由でアクセス出来ているか否かの確認 - Publicサブネット編

S3のVPC Endpoint経由でアクセス出来ているか否かの確認 - Publicサブネット編

AWS
記事タイトルとURLをコピーする

 

S3のVPC Endpointを作成した場合、アクセス元がPrivateサブネットにあれば弊社Godai Nakamuraのblog(*1)にある通りcurl等を利用してインターネットの任意のサイトへアクセスはできないが、S3へはVPC Endpointを作成した事でアクセス可能となった事を確認をするといったシンプルな話で済みます。

しかしPublicサブネットの場合は、デフォルトルート(0.0.0.0/0)がIGWに向いているためIGW経由でもVPC Endpoint経由でもS3へアクセス出来るため上の手法は通用しません。
従って実際にどの経路でアクセスがされたのかを見極めるには少し深い確認をする必要があります。

Publicサブネットのルートテーブルの例 (S3のVPC Endpointの経路設定済み) (*2)

ytamu@SilverMachine:~$ aws ec2 describe-route-tables --route-table-id=rtb-0b9d6fda75bce0adf --query 'RouteTables[].Routes[]' --output table
-------------------------------------------------------------------------------------------------------------
|                                            DescribeRouteTables                                            |
+----------------------+---------------------------+-------------------------+-------------------+----------+
| DestinationCidrBlock |  DestinationPrefixListId  |        GatewayId        |      Origin       |  State   |
+----------------------+---------------------------+-------------------------+-------------------+----------+
|  10.0.0.0/16         |                           |  local                  |  CreateRouteTable |  active  |
|  0.0.0.0/0           |                           |  igw-01d45a55298df7dad  |  CreateRoute      |  active  |
|                      |  pl-61a54008              |  vpce-0a7e08b0a117fddb5 |  CreateRoute      |  active  |
+----------------------+---------------------------+-------------------------+-------------------+----------+
ytamu@SilverMachine:~$
ytamu@SilverMachine:~$ date;aws ec2 describe-prefix-lists --prefix-list-ids=pl-61a54008
Thu May 16 07:40:22 UTC 2019
{
    "PrefixLists": [
        {
            "Cidrs": [
                "52.219.0.0/20",
                "54.231.224.0/21",
                "52.219.16.0/22",
                "52.219.68.0/22"
            ],
            "PrefixListId": "pl-61a54008",
            "PrefixListName": "com.amazonaws.ap-northeast-1.s3"
        }
    ]
}
ytamu@SilverMachine:~$

このルートテーブルを見た瞬間、S3関連のIPアドレス帯が4つ指定されているのでロンゲストマッチでVPC Endpointに向く(IGWを経由しない)筈だし問題ないであろうと思えたりもしますが、設定後には実際に通信を発生させ動作確認(裏どり)はしておきたいものです。
確認方法の1つの例として、CloudTrailのログから確認するといった手法があるので今回メモ代わりに残します。

これからやる事を一行で纏めると
「当該PublicサブネットにいるEC2インスタンスからS3へ何らかのアクションを実行し、CloudTrailの対象ログにあるCloudTrailEventの内容から経路を判断する」です。

CloudTrailにイベントログとして残りさえすればどのようなオペレーションでも良い筈(*3)ですが、今回は一時的に適当なS3bucketを作成しそのログから経路を確認します。

簡易検証環境の構成はざっくり以下です。

  • S3のVPC Endpoint (今回作成したものに割り当てられたIDは、vpce-0a7e08b0a117fddb5)
  • Publicサブネット
    • デフォルトルートがIGWに向いている
    • ルートテーブルにVPC Endpoint宛てのレコード有無を検証のポイントで切り替える
  • EC2インスタンス
    • Publicサブネット内に作成したAmazon Linux2のもの
    • S3へのFullAccess権限のIAMロールをアタッチ
  • S3 bucket
    • via-internet-test (IGW経由で一時的に作成するS3bucket名)
    • via-vpce-test (VPCE経由で一時的に作成するS3bucket名)
  • ローカルマシン(macOS)
    • jqコマンドツール導入済み(*4) #目がつよい方なら別になくても良いです


EC2(Amazon Linux2)からS3bucketを作成して削除します。
(膨大な量のCloudTrailのログを追いやすくなるので同時にdateを叩いておくと後に幸せになれます)

# S3bucket作成
[ec2-user@ip-10-0-0-225 ~]$ date;aws s3 mb s3://via-vpce-test
Thu May 16 07:52:32 UTC 2019
make_bucket: via-vpce-test
[ec2-user@ip-10-0-0-225 ~]$
# S3bucket削除 (お掃除が目的)
[ec2-user@ip-10-0-0-225 ~]$ date;aws s3 rb s3://via-vpce-test
Thu May 16 07:52:41 UTC 2019
remove_bucket: via-vpce-test
[ec2-user@ip-10-0-0-225 ~]$

そして、IGW経由となるようルーティングテーブルを設定し直し(VPC EndpointとPublicサブネットの関連づけを外し)、今度は上の内容をS3bucket名: via-igw-testとして再度実施します。(こちらは差分確認しなくて良いなら別にやらなくて良いです)

# S3のVPC Endpointから PublicサブネットのルートテーブルをRemove
ytamu@SilverMachine:~$ aws ec2 modify-vpc-endpoint --vpc-endpoint-id vpce-0a7e08b0a117fddb5 --remove-route-table-ids=rtb-0b9d6fda75bce0adf --reset-policy
{
    "Return": true
}
ytamu@SilverMachine:~$

実施が完了したらCloudTrailからS3bucketを作成した対象ログを突き止めます。

ytamu@SilverMachine:~$ aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=CreateBucket

"EventName": "CreateBucket" ログが対象日時前後で見つかる筈です。
マネージドコンソールを利用して確認(*5)した方が楽だと思われます。
# CloudTrailのログ反映には少々時間がかかるのでまだ出力されていなければ珈琲でも飲みながら待ちましょう。そして参照リージョンを間違え珈琲も冷めてしまう事があるので気をつけましょう。<-自分への戒め

S3bucket作成した対象ログのCloudTrailEventの中身を確認すると以下のような感じになっており
"vpcEndpointId": "vpce-0a7e08b0a117fddb5" といった今回作成したVPC EndpointのID情報が2箇所見て取れます。
CloudTrailEvent[]の中が JSONのなかにJSONといった感じで人の目に優しくないビジュアルな為、今回はjqコマンドツールを利用して整形しています。
また、不本意ですが色々と伏せた方がよさげな情報がドバドバ出たので一部結果を XXXX といった形で手動で置き換えています。

ytamu@SilverMachine:~$ aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventId,AttributeValue=3b44035b-5a47-433d-aee4-deb02606ee7c --query 'Events[].CloudTrailEvent[]' --output text |jq
{
  "eventVersion": "1.05",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "XXXXXXXXXXXXXXXXXXXXX:i-XXXXXXXXXXXXXXXXX",
    "arn": "arn:aws:sts::XXXXXXXXXXXX:assumed-role/S3FullAccess-Role/i-0942293cad73b36c3",
    "accountId": "XXXXXXXXXXXX",
    "accessKeyId": "XXXXXXXXXXXXXXXXXXXX",
    "sessionContext": {
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2019-05-16T07:28:34Z"
      },
      "sessionIssuer": {
        "type": "Role",
        "principalId": "XXXXXXXXXXXXXXXXXXXXX",
        "arn": "arn:aws:iam::XXXXXXXXXXXX:role/S3FullAccess-Role",
        "accountId": "XXXXXXXXXXXX",
        "userName": "S3FullAccess-Role"
      }
    }
  },
  "eventTime": "2019-05-16T07:52:34Z",
  "eventSource": "s3.amazonaws.com",
  "eventName": "CreateBucket",
  "awsRegion": "ap-northeast-1",
  "sourceIPAddress": "10.0.0.225",
  "userAgent": "[aws-cli/1.16.102 Python/2.7.14 Linux/4.14.114-103.97.amzn2.x86_64 botocore/1.12.92]",
  "requestParameters": {
    "CreateBucketConfiguration": {
      "LocationConstraint": "ap-northeast-1",
      "xmlns": "http://s3.amazonaws.com/doc/2006-03-01/"
    },
    "bucketName": "via-vpce-test",
    "host": [
      "via-vpce-test.s3.ap-northeast-1.amazonaws.com"
    ]
  },
  "responseElements": null,
  "additionalEventData": {
    "SignatureVersion": "SigV4",
    "CipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
    "AuthenticationMethod": "AuthHeader",
    "vpcEndpointId": "vpce-0a7e08b0a117fddb5"
  },
  "requestID": "XXXXXXXXXXXXXXXX",
  "eventID": "XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX",
  "eventType": "AwsApiCall",
  "recipientAccountId": "XXXXXXXXXXXX",
  "vpcEndpointId": "vpce-0a7e08b0a117fddb5"
}
ytamu@SilverMachine:~$


今回、VPC Endpoint経由とIGW経由のCloudTrailEventの差分は以下の通りでした。
"vpcEndpointId"の有無の違いだけでなく、
"sourceIPAddress"がVPC Endpoint経由の場合はEC2のプライベートIPアドレスであり、IGW経由の場合はAWSのグローバルIPアドレスとなっている事がわかります。

ytamu@SilverMachine:~$ aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventId,AttributeValue=3b44035b-5a47-433d-aee4-deb02606ee7c --query 'Events[].CloudTrailEvent[]' --output text |jq &gt; /tmp/via-vpce-test
ytamu@SilverMachine:~$ aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventId,AttributeValue=81a05480-c6cd-4168-bca1-0929ce9c637b --query 'Events[].CloudTrailEvent[]' --output text |jq &gt; /tmp/via-igw-test
ytamu@SilverMachine:~$ diff -u /tmp/via-igw-test /tmp/via-vpce-test
--- /tmp/via-igw-test   2019-05-16 22:57:04.000000000 +0900
+++ /tmp/via-vpce-test  2019-05-16 22:56:47.000000000 +0900
@@ -5,11 +5,11 @@
     "principalId": "XXXXXXXXXXXXXXXXXXXX":i-XXXXXXXXXXXXXXXXX",
     "arn": "arn:aws:sts::XXXXXXXXXXXX:assumed-role/S3FullAccess-Role/i-XXXXXXXXXXXXXXXXX",
     "accountId": "XXXXXXXXXXXX",
-    "accessKeyId": "XXXXXXXXXXXXXXXXXXXX",
+    "accessKeyId": "XXXXXXXXXXXXXXXXXXXX",
     "sessionContext": {
       "attributes": {
         "mfaAuthenticated": "false",
-        "creationDate": "2019-05-16T12:51:42Z"
+        "creationDate": "2019-05-16T07:28:34Z"
       },
       "sessionIssuer": {
         "type": "Role",
@@ -20,30 +20,32 @@
       }
     }
   },
-  "eventTime": "2019-05-16T13:33:09Z",
+  "eventTime": "2019-05-16T07:52:34Z",
   "eventSource": "s3.amazonaws.com",
   "eventName": "CreateBucket",
   "awsRegion": "ap-northeast-1",
-  "sourceIPAddress": "54.199.166.59",
+  "sourceIPAddress": "10.0.0.225",
   "userAgent": "[aws-cli/1.16.102 Python/2.7.14 Linux/4.14.114-103.97.amzn2.x86_64 botocore/1.12.92]",
   "requestParameters": {
     "CreateBucketConfiguration": {
       "LocationConstraint": "ap-northeast-1",
       "xmlns": "http://s3.amazonaws.com/doc/2006-03-01/"
     },
-    "bucketName": "via-igw-test",
+    "bucketName": "via-vpce-test",
     "host": [
-      "via-igw-test.s3.ap-northeast-1.amazonaws.com"
+      "via-vpce-test.s3.ap-northeast-1.amazonaws.com"
     ]
   },
   "responseElements": null,
   "additionalEventData": {
     "SignatureVersion": "SigV4",
     "CipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
-    "AuthenticationMethod": "AuthHeader"
+    "AuthenticationMethod": "AuthHeader",
+    "vpcEndpointId": "vpce-0a7e08b0a117fddb5"
   },
-  "requestID": "XXXXXXXXXXXXXXXX",
-  "eventID": "XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX",
+  "requestID": "XXXXXXXXXXXXXXXX",
+  "eventID": "XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX",
   "eventType": "AwsApiCall",
-  "recipientAccountId": "XXXXXXXXXXXX"
+  "recipientAccountId": "XXXXXXXXXXXX",
+  "vpcEndpointId": "vpce-0a7e08b0a117fddb5"
 }
ytamu@SilverMachine:~$

参考URI

*1...VPC Endpointを使ってS3にアクセスしてみる
http://blog.serverworks.co.jp/tech/2015/08/31/vpc-endpoint/


*2...ゲートウェイ VPC エンドポイント
https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/vpce-gateway.html


*3...AWS CloudTrail を使用して Amazon S3 API コールのログを記録する
https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/dev/cloudtrail-logging.html


*4...jq
https://stedolan.github.io/jq/

*5...CloudTrailの基本
http://blog.serverworks.co.jp/tech/2018/03/05/cloudtrail_basic/

【お知らせ】

【AWS re:Invent 2024 をエンジニアブログで振り返ろう】

2024年12月2日 - 12月6日 | ラスベガス（米国）
世界最大の AWS カンファレンス・AWS re:Invent 2024の感動をエンジニアブログで振り返りましょう！

AWS re:Invent 2024のブログ記事を読む

serverworks

"; doc.innerHTML = entry_notice + doc.innerHTML; }
' } }) e.innerHTML = codeBlock; });