CloudFront用のマネージドプレフィックスリストを使おうとしたら、ルール数の上限とかいう罠にハマった話
経緯 EC2の前にCloudFrontを置きました EC2にhttpやhttpsでは直接アクセスできないようにしたいです セキュリティグループやネットワークACLにCloudFrontのIPを全部登録するのはツライのでヤダ ここを見れば、一応IPの一覧が分かるが、、、 ならば、マネージドプレフィックスリストを使って、インバウンドのホワイトリストを設定しよう！！ 早速やってみる VPCのメニューを辿って、CloudFront用のマネージドプレフィックスリストを確認（CloudFront用のものが最初から用意されている） 名前をメモっておく 設定したいEC２のセキュリティグループのインバウンドに、マネージドプレフィックスを指定したルールを追加 パッと見てCloudFront用か判断できないので、事前に名前を確認しておく必要がある ルールを保存！ 設定失敗！！ なぜ、エラーになったのか？ セキュ
Amazon CloudWatch アラームの大規模なクリーンアップを自動化する | Amazon Web Services
Amazon Web Services ブログ Amazon CloudWatch アラームの大規模なクリーンアップを自動化する AWS リージョン全体で数千の Amazon CloudWatch アラーム がある中で、リージョンを跨いで価値の低いアラームや誤設定のアラームをすばやく特定したいとお考えですか？ 数日間「ALARM」または「IN_SUFFICIENT」状態になっていて、再検討が必要なアラームを特定する方法をお探しですか？ 価値の低いアラームをリージョン全体で確認し、定期的に削除してアラームコストを最適化するクリーンアップメカニズムが必要ですか？ このブログでは、CloudWatch で価値の低いアラームのクリーンアップメカニズムを AWS アカウントのリージョン全体に大規模にデプロイする方法を探り、さまざまな種類の設定ミスや価値の低いアラームを特定することによって、お客様が
署名付きURLを使用したS3へのファイルのアップロードとダウンロード
はじめに お客様に、動画マニュアルの社内共有サービスを作れないかと相談されたので、会員向けの動画配信サービスの構築方法を検討することになりました。 前回の記事で、MediaConvertを使って、S3にアップロードされた画像をコンバートする処理の技術検討は終わったので、 次は、 限られたユーザー（ログイン済み）のみ動画をアップロードできる 限られたユーザー（ログイン済み）のみ動画を視聴できる 仕組みの検討を行います。 過去に、画像の共有サービスを構築した際は、AmplifyのStorage機能をAmplify SDKから使って、Cognitoで認証されたユーザーのみアップロード、ダウンロード（署名付きURLで）できる方法を構築したことがありますが、今回は認証にAuth0を利用してみたいと考えているため、 Auth0でログイン済みのユーザーのみ、動画をアップロードできる Auth0でログイン
Amazon EFSにIAM認証のみを許可するファイルシステムポリシーを設定した場合に匿名アクセスはブロックされるのか確認してみた | DevelopersIO
Amazon EFSにIAM認証のみを許可するファイルシステムポリシーを設定した場合に匿名アクセスはブロックされるのか確認してみた ちゃんと匿名アクセスはブロックされるのかな こんにちは、のんピ(@non____97)です。 皆さんはAmazon EFSでIAM認証を使っていますか? 私はあまり使っていませんでした。 IAM認証を使うことでクライアントを認識することができ、ポリシーに応じて権限を管理することが可能です。EFSはLDAPと連携してKerberos認証をすることができないので、匿名アクセスを許可しない場合に役立ちそうです。 実際の設定例は以下の通りです。 この例を見て私は「IAM認証はしていないが、EFSファイルシステムのセキュリティグループで許可しているIPアドレスからのアクセスもちゃんとブロックしてくれるのかな?」と不安になりました。 TCP/IPの世界とIAMによる認証の
EFSアクセスポイントのルートディレクトリ作成のアクセス許可とPOSIXユーザー指定を試してみた | DevelopersIO
みなさんこんにちは、杉金です。 EFSアクセスポイントのオプション設定である、ルートディレクトリ作成のアクセス許可とPOSIXユーザー指定を試してみます。 試そうと思ったきっかけは、AWS Security Hubに追加されたコントロールEFS.3とEFS.4で、ルートディレクトリの適用やユーザーID指定を推奨しています。EFSアクセスポイントのこれらのオプション設定って何なのか、実際に試していきます。 まず結論から アクセスポイントのルートディレクトリとは アクセスポイントの設定でルートディレクトリを指定できますが、これはアクセスポイントをアタッチ（マウント）するときのEFS側のディレクトリを指します。イメージ図を描いてみました。 ルートディレクトリを指定をしない場合は、「/」がルートディレクトリになります。EFS.3では、デフォルトの「/」は非推奨としています。利用ケースにより「/」を
AWS iam:PassRoleって何だ
EC2 インスタンスだけを管理できてそれ以外の権限は不要という IAM ユーザが必要になり、IAM ユーザのポリシーに AmazonEC2FullAccessだけを付与して EC2 インスタンスを作ろうとしたところ、iam:PassRole というアクションの権限が必要というエラーがでてきました。この iam:PassRole について調べたので備忘録です。 目次 iam:PassRole は、IAM Role の使用を許可する権限である 調査に至った背景 EC2 インスタンスの作成完了画面で Authorization failure エラーが発生する エンコードされたエラーメッセージをデコードする iam:passRole って何だ iam:PassRole がなぜ用意されているのか iam:PassRole が必要なサービス iam:PassRole は、IAM Role の使用を許
CloudFront+S3 で署名付き URL を用いたコンテンツアクセスをしてみた 2023 | DevelopersIO
API アクセスが TLS1.2 未満は非対応となる対応として、S3 へアクセスする際に CloudFront を通して署名付き URL を用いる方法を紹介します。 はじめに 猫とアポロチョコと Systems Manager が好きな m.hayakawa です。 TLS 1.2 未満での AWS API エンドポイントへの接続が2023年6月28日以降、不可能になります。 TLS 1.2 がすべての AWS API エンドポイントへの接続に必要な最小バージョンになります | Amazon Web Services ブログ 今後 Transport Layer Security (TLS) の技術の進化と規制基準に対応するため、すべての AWS サービス API エンドポイントの TLS 構成において、最小バージョンを TLS 1.2 に更新する予定です。この更新は、2023 年 6 月
AWS Cost Anomaly Detection のアラートサブスクリプションでパーセント指定でのしきい値設定が出来るようになりました | DevelopersIO
いわさです。 AWS アカウント運用時に Budgets を使って予算を定義することが多いと思いますが、Cost Explorer のコスト異常検出機能 AWS Cost Anomaly Detection を併用すると、組み込みの機械学習モデルを利用して想定外のコストを早期に検出することが出来ます。 Cost Anomaly Detection を構成すると異常が検出されるのですが、その異常を通知する際にはアラートサブスクリプションを使って検出された異常が何ドル以上だった場合に通知するかというしきい値を設定する形でした。 こちら、先日のアップデートで固定値ではなくパーセントでしきい値設定出来るようになりました。 異常値検出を動的に割合ベースで行いたかった方には嬉しいアップデートだと思います。 今回の機能を使ってアラートサブスクリプションを作成してみました。 なお Cost Anomaly
boto3とbotoの違い | AWS SDK for Pythonの歴史を調べる - BioErrorLog Tech Blog
boto3とbotoの違いや、そもそもの"boto"の由来など、AWS SDK for Pythonの歴史を調べてまとめます。 はじめに AWS SDK for Pythonの歴史 boto3とbotoの違い boto2はどこに行ったのか "boto"の由来 おわりに 参考 はじめに AWS SDK for Pythonとしてboto3をいつも使っています。 ただ、私がAWSを触り始めたときには既に"boto3"になっていたので、"3"というからには無印botoやboto2もあるんだよね..?というモヤっとした疑問を抱えていました。 以前からAWSを知る人にとっては自明かもしれませんか、自分はまだ明確な答えを知りません。 そこで今回はboto3の歴史的背景を調べ、 boto3とbotoの違い boto2はどこに行ったのか そもそも"boto"の由来は？ をまとめます。 AWS SDK fo
1台のサーバですら Auto Scaling でケチる - HDE BLOG
こんにちは。小椋です。 「まあ15分ぐらいなら落ちてても実際そこまで困らないけど、基本的には24時間起動していてほしいんだよね……」 という緩めのサービスレベルで稼働しているSPOF気味なサーバー、ありますよね。社内向けのジョブスケジューラーとか、一日に数回なんか集めて分析する奴とか。あんまり表立って言わないだけで、御社にもありますよね？ サービスレベルが緩めだし、ミッションクリティカルでもないので、ただ起動しっぱなしにしてほっとけばいいや……と思いきや、やっぱり止まったら止まったで処置も必要だし、生死確認はちゃんとしないといけないし、そもそも起動しっぱなしなのでお金もかかるし、とか、意外とお金も労力もかかりますよね。 私HDEの社長ですが、サーバ代に関してはかなりケチです！ そういうケースに関しては、場合によってはEC2のAutoScaling Groupで管理すると節約ついでに横着でき
TypeScriptのAWS CDKで設定値（Config）を渡す実装方法を考えてみた | DevelopersIO
AWS CDKではシステム環境（dev,stg,prdなど）の環境ごとに設定値を切り替える方法が何パターンかありますよね。今回TypeScriptを使う際にできるだけ型の恩恵を受ける実装パターンを考えてみました。 こんにちは。AWS事業本部コンサルティング部に所属している今泉（@bun76235104）です。 AWS CDKを使う時の設定値（Config）の渡し方に迷ったことはありませんか？ 私は何度もあります。 以下記事では弊社の佐藤が設定値の渡し方について2つの方法を提示してくれています。 私としても2. 外部ファイルの利用(TSファイル)による方法に以下のようなメリットを感じています。 TypeScriptの型の恩恵を受けることができる プログラミング言語によるインフラのプロビジョニングができるAWS CDKにおいて、TSファイルを使う方法は相性が良い（と私は思っています） アプリケ
[アップデート] Amazon GuardDuty マルウェア保護がオンデマンドスキャンに対応しました | DevelopersIO
Amazon GuardDuty のマルウェア保護がオンデマンドスキャンに対応したため試してみました。 Amazon GuardDuty のマルウェア保護がオンデマンドスキャンに対応しました！ これまでは、C&C サーバとの通信検知など、GuardDuty が別のイベントを検知したことをトリガーとしてマルウェアスキャンが開始されていました。今回のアップデートでユーザーの任意のタイミングで Amazon EC2 インスタンス（Amazon EBS）をスキャンできるようになりました。 マルウェア保護のオンデマンドスキャン機能について これまでのマルウェア保護機能については下記ブログにまとまっています。 アップデートされたオンデマンドスキャンに関するユーザーガイドの記載箇所は次のページです。2023/5/3 時点では英語ページのみです。 On-demand malware scan - Amaz
![[アップデート] Amazon GuardDuty マルウェア保護がオンデマンドスキャンに対応しました | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/fce12d6b8c3f398a292a5005e239212abe657216/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2022%2F08%2Famazon-guardduty.png)
AWS SDK for Go v2のAPIをモックして単体テストを実行する | DevelopersIO
しばたです。 前の記事でAWS SDK for Go v2を使ったツールを作った話をしましたが、このツールのテストを書くにあたり結構ハマったので共有したいと思います。 Developer Guide AWS SDK for Go v2のAPIをモックする方法自体は以下のDeveloper Guideにふつうに載っています。 後から改めて見る分には「せやな。」って感じで理解できるのですが、最初にこのドキュメントを見た際は 私のGo言語に対する理解が不足していた *1 AWS SDK for Go v1とv2でやり方が微妙に異なり、ネット上には両バージョンの手法が混在するため情報の取捨選択に手間取った という状態でかなり混乱し理解に手間取りました。 モックに必要なことを一つ一つ整理していけばそこまで難いことは無かったと今では思いますが、もう少し丁寧な説明があっても良いのかなと思うところでありま
Amazon Linux 2023がGAされました | DevelopersIO
抜粋 : Release cadence - Amazon Linux 2023 メジャーリリースとマイナーリリースの内容は以下AWS公式ドキュメントに記載されています。メジャーリリース時には互換性があるか十分に検証した上でアップデートしましょう。 Major version release— Includes new features and improvements in security and performance across the stack. The improvements might include major changes to the kernel, toolchain, Glib C, OpenSSL, and any other system libraries and utilities. Major releases of Amazon Linux ar
Amazon Linux 2023 – 長期サポート付きのクラウド最適化 Linux ディストリビューション | Amazon Web Services
Amazon Web Services ブログ Amazon Linux 2023 – 長期サポート付きのクラウド最適化 Linux ディストリビューション Amazon Linux 2023 (AL2023) の一般提供の開始をお知らせします。AWS は 2010 年以来、クラウド最適化 Linux ディストリビューションを提供してきました。これは、当社の第 3 世代の Amazon Linux ディストリビューションです。 どの世代の Amazon Linux ディストリビューションもセキュリティで保護され、クラウド向けに最適化されており、長期的な AWS サポートを受けることができます。当社では、Amazon Linux 2023 をこれらの原則に基づいて構築し、さらに発展させています。Amazon Linux 2023 でワークロードをデプロイすると、高度なセキュリティ基準、予測可
ElasticBeanstalkでメモリ使用率が一定値を超えたらslackでアラートを出したい - kasei_sanのブログ
ElasticBeanstalkでメモリ使用率やHDD残量をモニタリングする方法の続き ざっくり解説 ElasticBeanstalkの「アラーム」では、CloudWatchでメトリクスしている項目が設定した閾値を超えた時、AmazonSNSのSNSトピックに通知を渡すことができる AmazonSNSとは、何かをトリガーにしてどこかに情報をpushするサービス 送信先は、Emailとか、特定のURLを叩くとか、Lambdaとかいろいろ SNSトピック : トリガーと送信先(Subscriptions:複数可)のセット 方法 例として、メモリ使用率が98%を超えたら通知する場合 まず、ElasticBeanstalkでメモリ使用率やHDD残量をモニタリングする方法で追加したカスタムメトリクスMaxMemoryUtilizationを「モニタリング」に追加する モニタリングに追加された
AWS認定データベース - 専門知識を受験した時の話 - Qiita
2022/07時点の最新バージョン(Ver.2.1) のものです。 バージョンアップで範囲等は変更されるので、受験時は公式サイトで確認してください。 AWS Certified Database - Specialty 認定 勉強開始前の状態 AWSで動いているアプリの保守開発/運用の業務を5年程度、現在も継続中 AWS認定はこれまで6個取得済み AWS認定ソリューションアーキテクトを受験した時の話 AWS認定デベロッパーアソシエイトを受験した時の話 AWS認定SysOpsアドミニストレーターアソシエイトを受験した時の話 AWS認定ソリューションアーキテクトプロフェッショナルを受験した時の話 AWS認定セキュリティ - 専門知識を受験した時の話 AWS認定DevOpsエンジニアプロフェッショナルを受験した時の話 勉強に使ったもの 1. AWS公式模擬試験(Skill Builder) AW
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CloudWatch Logsのイベントを期間指定で取得する - Qiita
aws-cfn-alb-ec2/template.yaml at main · Tak1wa/aws-cfn-alb-ec2
Building a minecraft server for a family using Auto Scaling Groups