AWS認定ソリューションアーキテクト-アソシエイトとは とらくらのインフラエンジニア、はたけです。 AWS認定ソリューションアーキテクト-アソシエイト試験(通称SAA-C02)とは可用性、コスト効率化、高耐障害性、スケーラブルな分散システムの設計に関する 1 年以上の実務経験を持つ方を対象とする試験です。 AWS認定の中でも中級に位置しており、130 分で65問(採点対象外15問含む)で約70%で合格となります。 はじめに試験ガイドを読むことをお勧めします。 概要を理解しておくことで問題を解く上で考える範囲が限定され解きやすくなると思います。 AWS公式ページ AWS Certified Solutions Architect – Associate ｜ (SAA-C02) 試験ガイド 学習前のレベル 筆者はユーザー企業の情報システム部門に15年間在籍しており、オンプレミス環境でインフラエ

こんにちは、cloudpack の 今岡 です。 Amazon S3はIAMと組み合わせることにより、ファイルサーバ(Windowsの共有的な)のような構成を組むことも可能です。先にいうと、バケット単位での設定は結構簡単ですが、バケットは同じ、ディレクトリで分離という方法をなんとかします。 やりたいこと 目指すはコモンセンス(と私が思う)Windowsの共有です。 バケットは1つ、その中にディレクトリが2つあり、片方にはアクセスできるが、片方にはファイルの読み書きは無論、ディレクトリ内のファイル一覧も見れないように設定したい。 知っておいたほうがいいこと S3に実はディレクトリはない KVSと言って良いです。各オブジェクト(Value)に、ファイルパス(Key)が付いていると理解します。後々この概念が無いと理解出来ません。 ListAllMyBucketはほぼ必須 この権限は、自分(AWS

このうち、後ろの2種類は、バケットに対するアクションです。つまり、前述のポリシーでは、s3:*という全アクション指定をしているものの、arn:aws:s3:::access-control-on-specific-path/dir_a/*という形式でバケットではなくオブジェクトでリソース指定をしている為に、実質的には後ろの2種類のバケット操作系の権限は付与されていないということになります。 ListObjectsするにはs3:ListBucketが必要 今回エラーとなって実行できていないListObjectsをする為には、s3:ListBucket権限が必要なことがわかりました。s3:ListBucketはバケットオペレーションとなる為、バケットをリソースとして権限を付与する必要があります。 オブジェクトオペレーション s3:GetObject s3:GetObjectVersion s3

今日(2022/07/07)は弊社、Classmethodの創立記念日ということで、 AWSのマルチアカウント戦略で思ったこと をそのまま書き殴ってみました。 共感するところや他に苦労しているところ思いついた方は Twitter 等で共有いただけると嬉しいです！ 思いつく限り書いた結果の目次がこちらです。 「アカウントをどう分割するのか」問題 「AWS Control Tower を活用したほうがいいのか」問題 「ユーザー管理どうするのか」問題 「最小権限とは言っても」問題 「管理アカウントでの作業が怖い」問題 「OU/SCP周りの更新が怖い」問題 「セキュリティをどう向上するか」問題 「アカウント数のスケールにどう対応するのか」問題 「ベースラインの構築/管理をどうするか」問題 「ログ集約するのか/しないのか」問題 「どのアカウントかぱっと見て分からない」問題 「Security Hub

ざっくり要件 不要なAWSリソースを見たくない・見せたくないIAMユーザを作成したい 特定のS3のapp/以下だけ（重要） アクションとしては、ディレクトリ作成、アップロード、ダウンロード、閲覧 他のS3バケット名も見せない IP制限等は別途 MFA付き等は今回は除外 バケット名は参考から名前を流用して AWSDOC-EXAMPLE-BUCKET S3バケットは東京リージョン 個人的なポイント バケットポリシー側をいじる必要はなかった S3バケットのアクセス許可も パブリックアクセスをすべてブロック のままでよい 特定のURLでアクセスする必要がある https://s3.console.aws.amazon.com/s3/buckets/AWSDOC-EXAMPLE-BUCKET?region=ap-northeast-1&prefix=app/ S3のバケット一覧からは遷移できない(権

概要 はじめに 本日は、VPC フローログの取得方法と、取得したフローログの見方をご説明します。 VPC フローログとは VPC フローログは、VPC で使用するネットワークインターフェイスとの間で行き来する IP トラフィックに関する情報をキャプチャする機能です。キャプチャしたフローログは、Amazon CloudWatch Logs に出力あるいは Amazon S3 に格納することができます。 VPC フローログは、VPC、サブネット、あるいはネットワークインターフェイス（ENI）のいずれかに作成します。ENIが特定できる場合は、不要なトラフィックをキャプチャしないようにENIに対してVPC フローログを設定します。 VPC フローログをENI に対して作成する場合は、EC2にアタッチされたENI 以外に下記サービスによって作成されたENI にもフローログが作成できます。 Elast

こんにちは、CX事業本部の夏目です。 先日、AWS初心者にIAM Policy/User/Roleについてざっくり説明する機会があったので、説明した内容を共有します。 IAM Policy/User/Role 結論だけ簡潔に表現すると、次のようになる。 IAM Policyは できること/できないこと を定義し、UserやRoleに紐づけて使う IAM Userは、Policyを紐付けて、ユーザーができることを定義する IAM Roleは、Policyを紐付けて、誰か/AWSのサービス ができることを定義する Policyは できること/できないこと を定義し、UserやRoleに紐づけて使う IAM PolicyはAWSで何ができるかを定義するものです。 これ単体では何もできず、IAM UserやRoleに紐づけて使用します。 これはS3ReadOnlyAccessという、AWSが提供し

クラウドの運用者に焦点を当てた、技術者向けの新しいテックイベント「Cloud Operator Days Tokyo 」。ここで株式会社カサレアルの新津氏が「これやったの誰？」をテーマに登壇。自動化したオペレーションに対して生じた疑問と学びについて紹介します。 自己紹介と今回のテーマ 新津佐内氏（以下、新津）：みなさん、こんにちは。株式会社カサレアルの新津佐内と言います。本日は「これやったの誰？」というタイトルのお話をします。 「これやったの誰？」についてですが、DevOpsと合わせて自動化を進めていく中で、自動化したオペレーションに対しても生じたこの疑問に、実業務の中であらためて向き合ってみました。上記事例の詳細と現時点での我々の答えを紹介します。 まず本日お話しする内容ですが、スライドに書かれているような基盤の運用担当者のユースケースに関わるお話になります。どのようなユースケースかとい

[！] この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。 クラウドコンピューティングサービスでは、同じ用語で同様の機能が提供されていても、仕様の異なる部分が少なくありません。この投稿では、Amazon Web Services (AWS) ⧉、Microsoft Azure (Azure) ⧉、Google Cloud Platform (GCP) ⧉ のネットワーク構成と通信制御の方法について比較していきます。 用語説明 クラウドで定番の用語が頻出するので、はじめに用語の説明を記載します。既に理解されている方は、次項のネットワーク構成にお進みください。 VPC / VNet 用途ごとの単位で作成する仮想ネットワークです。AWS、GCP では VPC(Virtual Private Cloud)、AzureではVNet(Virtual Net

この記事には広告を含む場合があります。 記事内で紹介する商品を購入することで、当サイトに売り上げの一部が還元されることがあります。 ども。あいしんくいっと（@ithinkitnet）です。 AWS上に構築したEC2インスタンスへ「sshポートフォワーディングを利用したリモートデスクトップ」が必要になりました。 まず、簡単に説明しておくと、下記の構成はAWSで構築する頻度が高い構成です。 上がDMZ、いわゆるインターネット接続用のセグメントで下がプライベート、いわゆる社内セグメントですね。 DMZに配置したインスタンスはEIPを付与して直接インターネットとやりとりし、プライベートに配置したインスタンスはDMZに配置したNATを経由してインターネットとやりとりをします。 社内セグメントに配置したインスタンスにアクセスしたい場合は、社内から直接AWSダイレクトコネクトやインターネットVPNでアク

2020.06.23 ｜ Writer：高木 【AWS】「AWS Systems Manager」経由でWindowsサーバーにリモートデスクトップ接続する方法 NTT東日本がお届けする、クラウドの情報満載のメールマガジンはこちらからご登録ください。 初めまして、クラウド導入・運用サービスにて構築担当している高木です。 AWSとスノーボードが大好きです。スノーボードは3年ほど前インストラクターの資格を取得したのですが、子供が産まれてからゲレンデから遠ざかってしまいました。子供が少し大きくなったら家族でゲレンデに遊びに行こうとひそかに計画しています。 それでは早速本題です。 今回のコラムでは、複数のユーザーが「AWS Systems Manager（以下AWS SSM）」経由でWindowsサーバーにリモートデスクトップ接続をする方法について紹介していきます。 恐らく皆さまもオンプレミス環境

https://aws-startup-community.connpass.com/event/241721/ 2022/05/10(火) 19:30 〜 21:30 「スタートアップ事例祭り 〜監視・モニタリング・セキュリティ編〜」

新たな文学の芽生えを感じ、流行ってくれんかなと思ったため。ホットスタンバイが文字通りなところで耐えられなかった。

AWSの各サービス、冒頭の説明文見てもどういうものなのか全然わからなくない？ もしAWSがカップラーメン発売したらこんな感じの紹介してると思う。 https://t.co/4ZoxjQdUUk

AWS VPCのサブネット分離 AWS VPCでは、セキュアなネットワークのため、サブネットを以下のように分離するパターンがよく採用されます。 インターネットに直接接続するパブリックサブネット NAT経由でインターネットに接続するプライベートサブネット NAT構成パターン AWS VPCにて、NATを確立するために以下のパターンがあります。 NATゲートウェイ NATインスタンス(EC2) いずれもインターネットへのルーティング先(0.0.0.0/0)として、プライベートサブネットのルートテーブルに割り当てられます。 NATゲートウェイ NATゲートウェイはAWSマネージドサービスであるためメンテナンス不要で、トラフィックに応じた十分な性能およびMultiAZ冗長性も確保されます。 稼働時間料金で33.48USD/月、これに加えてデータ処理および転送料金が発生します。 一時的な停止等はでき

インターネットゲートウェイとはインターネット GW は Static NAT を行います。つまり、パブリック IP を割り当てられた EC2 インスタンス等は、プライベート IP とパブリック IP が 1 対 1 で変換されます。 Static NAT の場合、NAT テーブルには通信前から「プライベート IP とパブリック IP の変換ルール」が定義されていますので、EC2 から始まる通信であっても、インターネットのクライアントから始まる通信であっても、IP は変換され、通信が可能です。 なのでインターネット GW の使い道は主に「インターネットからのアクセス」と「インターネットへのアクセス」の両方を実現することです。 インターネット GW は VPC に配置します。そしてインターネット GW を使いたい EC2 インスタンスは、「デフォルトルート 0.0.0.0/0 のターゲット」と

表題の通り、IAMポリシーで特定のEC2インスタンスのみに操作権限を付ける ことが可能になったみたいです。(2013/07時点) http://aws.typepad.com/aws_japan/2013/07/resource-permissions-for-ec2-and-rds-resources.html 以下のIAMポリシーは、全EC2インスタンスの参照権限 + インスタンスID1、2 への再起動、起動、停止の権限を付与した例です。 ActionとResourceが重要です！ { "Version": "2012-10-17", "Statement": [ { "Sid": "EC2DESC", "Action": ["ec2:describe*"], "Resource": ["*"], "Effect": "Allow" }, { "Sid": "EC2BOOT", "Ac

CI部1課に異動しました山﨑です。 AWSにおけるアクセスポリシーの評価ロジックについて簡単に整理したいと思います。 はじめに 2021年11月にアップデートがありました 評価ロジック 拒否の評価（明示的な拒否） Organizations SCP リソースベースのポリシー IAM Permissions Boundary セッションポリシー ユースケース：クロスアカウントのSwitch Role ①AssumeRole API Request ②temporary security credentials ③IAM Roleの権限でSwitch Role アイデンティティベースのポリシー まとめ はじめに AWSにおいて認証・認可（権限の付与）を司るサービスと言えば IAM（Identity and Access Management）が真っ先に思い浮かびます。例えば IAMのIAM P

渡辺です。 今年の11月の北海道は暖かく、スキー場に雪が降ってもレストア（雪解け）してしまいます（T_T 運用設計時、バックアップは検討しているにも関わらず、レストア手順の検討を行っていないケースは稀によくあります。 最悪、バックアップ（EBSのスナップショット取得）さえしておけば何とかなるといえばなんとかなるのですが、レストアが必要な場合に焦らないよう、レストア手順はしっかりと押さえておくべきでしょう。 今回は、EBSのスナップショットからのレストア方法について３パターン紹介します。 新規インスタンスを作成してのレストア ひとつ目の方法は、EBSスナップショットからAMIを作成し、そのAMIからEC2インスタンスを新規に作成する方法です。 AMIを作成する手間はありますが、元インスタンスを残したままにレストアできるため、レストア失敗時のリスクが最小に抑えられること、元インスタンスからのデ