こんにちは、エウレカ SRE チームの原田です。 今年 (2021年) エウレカでは、公開鍵認証で接続するEC2の踏み台サーバを廃止し、代わりに各サーバへの接続をIAMで認証できるSSM Session Managerへのリプレースを行いました。本記事ではそのモチベーションや、実装のポイントを紹介していきたいと思います。 旧来の踏み台サーバ 旧来の踏み台サーバエウレカで長く運用されていた踏み台サーバ (Gateway) は以下のようなものでした。 各開発者は、自分の秘密鍵を使って踏み台サーバへSSHを行う ( 踏み台サーバ上には各開発者の個別ユーザーおよび公開鍵が登録されている )踏み台上では、接続が許可されているSSH対象のサーバの秘密鍵がユーザー毎に配置されており、その鍵で各サーバにSSHするMySQL / Elasticsearch / Redis など、Private Subnet
SSH不要時代がくるか!?AWS Systems Manager セッションマネージャーがリリースされました! | DevelopersIO
はじめに おはようございます､加藤です｡す...すごい機能がリリースされました!AWS Systems Mangerの新機能でセッションマネージャーという機能です｡ 一言で言えば､｢EC2インスタンスにSSH・RDPで接続せずにブラウザ上からCLI操作ができる機能｣です｡ブラウザがSSHクライアントとして動作している訳でなく､制御はSSMによって実現されています｡ セキュリティグループのインバウンド設定や踏み台ホストを作ること無く安全にEC2インスタンスへ接続できちゃいます!テンション高まる! やってみた 前提 SSMエージェントのバージョンが2.3.12以上である必要があります(2018/09/12 09:00 時点で起動したインスタンスはアップデート必要と思われます) 作成済みのインスタンスの場合はRun CommandのAWS-UpdateSSMAgentを使うなどしてバージョンアッ
こんにちは。 はてなインターン2019 システム基盤開発コースでやったことをお話していきます。 今年のシステム基盤開発コースでは、コードネームphoenixと題して、「毎日生まれ変わるセキュアな踏み台サーバ」の作成に取り組みました。 なぜつくったのか 踏み台サーバ なぜ毎日生まれ変わるのか なぜコンテナを使ったのか 踏み台サーバを更新する仕組み SSMセッションを用いたログイン CloudFormationによる自動デプロイ（未完） Terraformによる自動デプロイ 感想など なぜつくったのか まずはじめに、なぜこのような踏み台サーバの構築を行うことになったのかについて説明します。 多くの現場でもそうであると想像されるように、現状のはてなでは様々な社内サービスや、稼働中のサーバー・データベースにアクセスするために踏み台サーバを経由する必要があります。はてなには種々のサービスが存在してい
巡洋艦モスクワ撃沈の真相？ 索敵に成功した驚きの理由を報じたウクライナ紙（JSF） - エキスパート - Yahoo!ニュース
2022年4月13日にウクライナ軍のネプチューン地対艦ミサイルによる攻撃を受けて翌日4月14日に沈んだロシア海軍の巡洋艦モスクワについて、ウクライナ紙「ウクラインスカ・プラウダ（Українська правда）」が目標を捉えた経緯の「真相」を記事にしています。 ウクラインスカ・プラウダはウクライナ軍関係者に数十回の取材を行い、真相を聞き出し、歴史的なネプチューン実戦発射時の写真を譲り受けて掲載しています。 2022年12月13日：ウクラインスカ・プラウダ「巡洋艦モスクワをどのように撃破したか」宇語：Потопити "Москву": невідомі деталі. Як український "Нептун" знищив флагман російського флоту ※全文版英語：It became known how exactly Russian cruiser Mo
Amazon Linux 2 のインスタンスを作成する時に必ずやっておきたい事 | DevelopersIO
はじめに こんばんは、菅野です。 Amazon Linux 2 への移行は終わりましたか？ Amazon Linux 2 へ移行するには新しいインスタンスを作成する必要がありますが、その時におすすめしたい設定があります。 ※2020-07-08に「注意点 その2」を追記しました。 おすすめの設定 セッションマネージャーを利用できるようにすること メモリ使用率とディスク使用率を CloudWatch で見れるようにすること これらを設定しておくと、今後の運用が楽になります。 セッションマネージャーを使うメリット メリットとしては、SSH 接続をしなくても EC2 のコマンドが実行できるようになりますので、セキュリティグループで SSH を解放する必要が無くなりセキュリティの向上につながります。 この画像はマネジメントコンソールから EC2 にログインした時のものですが、AWS Systems
AWSアクセスキーセキュリティ意識向上委員会って何？ 昨今、AWSのアクセスキーを漏洩させてしまうことが原因でアカウントへの侵入を受け、 多額の利用費発生・情報漏洩疑いなど重大なセキュリティ事案が発生するケースが実際に多々起きています。 そこで、アクセスキー運用に関する安全向上の取組みをブログでご紹介する企画をはじめました。 アクセスキーを利用する場合は利用する上でのリスクを正しく理解し、 セキュリティ対策を事前に適用した上で適切にご利用ください。 AWS CLI、どこから使っていますか？ ざっくり、以下4種類のどれかを使っている方が多数派ではないでしょうか。 ローカル端末 AWS内に構築した管理用EC2にSSHを利用して接続 AWS内に構築した管理用EC2にSSM(セッションマネージャ)を利用して接続 AWS CloudShell 一体どう違うのでしょうか。 状況によって良し悪しは異なる
従来アプリケーション側で必須だった機密情報の復号化が、マネージドな仕組みで実現できるようになりました。 これでついにあんな秘密やこんな秘密をコンテナに渡しやすくなりますね — ポジティブな Tori (@toricls) 2018年11月16日 先日のアップデートで、ECSコンテナ内への機密情報の受け渡しが非常に簡単になりました。 従来は機密情報の展開にアプリケーション側での処理が必要だったものが、マネージドな仕組みで実現可能となっているので、既存ECSユーザーには必見のアップデートとなっております。 参考：AWS Launches Secrets Support for Amazon Elastic Container Service あんなことやこんなこと！？ ( ﾟдﾟ) ｶﾞﾀｯ / ヾ ＿_L| /￣￣￣/＿ ＼/ / 従来の方法の面倒くささ（自前で機密情報を展開していた
開発スタッフ・エンジニア募集-株式会社ライブドア
応募を考えているみなさまへ LINEヤフーは日常生活のあらゆるシーンで活躍する多種多様なサービスを作っています。 今までのキャリアを生かし、より便利なサービスを創りたいという意欲がある方、ぜひLINEヤフーでともに働きませんか。 まずは応募および応募検討のための方法・機会についての案内「応募ガイド」をご覧ください。 応募ガイドを見る
こんにちは、後藤です。今回はAWS構成における踏み台についての記事です。 データベースなどのインターネットに繋げたくないリソースに踏み台リソース経由でアクセスさせることは、セキュリティ設計としてよくある構成だと思います。 今回はその踏み台リソースに「ユーザーログイン有無を検知して自動停止する」ロジックを組み込んだ方法を共有します。 また、一般的によく用いられるのはEC2だと思いますが、今回はECS on Fargate(以降はFargateと略)を使います。しかも自動停止ロジックにLambdaを使いません！！コンテナの中で完結させます。 踏み台を設計する時に気になること そもそも踏み台について設計する際に何が気になるのでしょうか。それはOS管理負担と自動停止です。 踏み台にEC2を用いるとOSパッチ適用などの運用コストが発生します。業務系サーバでないのに心労が重なるのはなるべく避けたいとこ
Ansible使いの人はちょっと見逃せない。AWS Systems Managerで複雑な構成のAnsible-Playbookの実行が可能になりました | DevelopersIO
AWS事業本部 梶原@新福岡オフィスです。 数日前に、AWS Systems Manager で複雑な構成のAnsible-Playbookの実行がサポートされました。 https://aws.amazon.com/jp/about-aws/whats-new/2019/09/now-use-aws-systems-manager-to-execute-complex-ansible-playbooks/ 一瞬、以前からAnsible Playbookの実行はできてたじゃん。とスルーしそうになったんですが、Complexの文字が目にとまりました。 よくよく読んでみると、S3 or Github上のzip またはディレクトリ構造のPlaybookを実行できるとの記載があります。 そうです、AnsibleのBest Practicesに沿った構成のまま、EC2上でAnsible-Playboo
SREチームの長田です。 KAYAC Advent Calendar 2022の11日目の記事です。 アプリケーションから何かしらの外部サービスを利用するとき、そのサービスを利用するためのAPI Keyなり秘密鍵なりの秘密情報を保持することになります。 暗号化したものをファイルとしてアプリケーションに持たせたり、 Amazon Web Services(AWS)ならAWS Secrets Managerや AWS Systems ManagerのParameter Store(SSM Paramater Store)に保存したものを実行時に読み込んだりするでしょう。 これらの秘密情報、どこから来たのかわかりますか？ どこから来た秘密情報なのか 秘密情報を使って出どころを調べられるのであれば問題はないでしょう。 # 例えばAWSのIAM User Credenntialsとか $ AWS_A
TimeTree の SRE が海外展開においてやったこと＆やってないこと by【TimeTree × みてね勉強会】 グローバル対応への挑戦 〜SRE/インフラ編〜
AWS Systems Manager セッションマネージャーでSSH・SCPできるようになりました | DevelopersIO
AWS Systems Manager セッションマネージャーに待望の機能（のひとつ）がやってきました！ Session Manager launches tunneling support for SSH and SCP サーバーにSSHしたり、ローカル・リモート間での SCP 越しのファイルの送受信も可能になりました。 更には SSH セッション越しにポート転送もできます。 ということで、さっそく試してみましょう！ リモートの準備 SSM エージェントをインストール SSH先サーバーに 2.3.672.0 以上の SSM エージェントがインストールされている必要があります。 古いエージェントがインストールされている場合、アップデートしてください。 Manually Install SSM Agent on Amazon EC2 Linux Instances - AWS Systems
AWS System Managerセッションマネージャーがリモートホストのポートフォワードに対応しました | DevelopersIO
AWS System Managerセッションマネージャーはポートフォワードに対応しており、セキュリティグループで特定のポートをあけることなく、プライベートサブネットのWindowsサーバーにRDPするといったことが可能です。 従来は、セッション接続先のEC2インスタンス内で LISTEN しているポートしかフォワードできませんでしたが、今回のアップデートにより、リモートホストのポートも転送できるようになりました。 より具体的には、EC2インスタンスを踏み台に、VPC内のリソース、例えばRDSのホスト・ポートを転送するといったことが可能になりました。 やってみた SSM エージェントバージョンを確認 AWS Systems Managerは操作対象のインスタンスにエージェントをインストールします。 Session Managerを利用したリモートホスト・ポートフォワードの場合、バージョン
[遂にきた！]脆弱性管理ツールFutureVulsから直接SSMを利用してパッチ適用ができるようになったのでやってみた | DevelopersIO
[遂にきた！]脆弱性管理ツールFutureVulsから直接SSMを利用してパッチ適用ができるようになったのでやってみた SSMと連携してパッチ適用を数クリックでできるようになりました！メチャ嬉しい！脆弱性管理ツールであるFutureVulsは発見した脆弱性をその場で判断して優先度付けやタスク化できていましたが、これで全てのオペレーションがFutureVuls上で完了します。 こんにちは、臼田です。 全世界のサーバ管理をしている皆様、朗報です。 脆弱性管理ツールのFutureVulsがAWS Systems Manager(SSM)と連携する機能を発表しました！ 具体的には下記2つの機能を提供しています。 SSM連携パッケージアップデート FutureVulsの画面上からパッケージのアップデートを行うことができます。 SSM連携スキャン実行 FutureVulsの画面上からサーバのスキャンを
![[遂にきた！]脆弱性管理ツールFutureVulsから直接SSMを利用してパッチ適用ができるようになったのでやってみた | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/415c1fe8d9a5dca822acdf7d92bdfdb86eae498a/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F06%2Ffuturevuls_1200_630.png)
セッションマネージャー越しにSSHアクセスする構成のメリットについて考えてみました。 なにそれ？ 公式ドキュメントでいうと以下内容のことです。 Step 8: (Optional) Enable SSH connections through Session Manager もう少し詳しく まず、クライアントはセッションマネージャーを使ってアクセスしたいインスタンスにアクセスします。 もう少しこの部分を具体的に説明すると、クライアントがアクセスしているのはインスタンスではなく、SSM(Systems Manager)のエンドポイントです。 そして、アクセス先インスタンス内のSSM Agentがポーリングアクセスしていて、こちらを通じてアクセスしています。 そして、この接続の先で、SSH接続し直しているイメージになります。これが今回扱う「セッションマネージャー越しにSSHアクセス」です。 わ
「癒しのヒトラーおじさん」℃-ute中島早貴の発言にネット紛糾！
4日深夜放送の『よろセン！』（テレビ東京）に出演したアイドルグループ℃-ute・中島早貴の発言が波紋を広げている。 中島は『よろセン！』内の世界の偉人を紹介するコーナー「なっきぃ的 世界偉人DEN!!」にて、ナチス・ドイツの独裁者アドルフ・ヒトラーを”偉人”として取り上げ、「ヒトラーおじさん」「癒しの演説」などと紹介。かわいらしいイラストや空想上のモノマネを披露するなどした。また、他の出演者もこのモノマネを唱和するなど、番組は和やかな雰囲気で進行した。 この放送中から、ネット上では番組に対する批判が噴出。 「親しみを込めてヒトラーおじさんと連呼するとは……」「いくらなんでも無知すぎる」「欧米だったら大問題になるぞ」など、中島の見識を疑う意見が多く書き込まれた他、「マネージャーはなぜこの発言を許したのか」「生放送ならまだしも、録画でこの企画はありえない」など、℃-uteの周辺スタッフや番組制
背景 AWSのEC2にSSH接続する際、EC2のSSHキー(pemファイル)を使用して接続することが多ですが、SSHキーの管理が面倒だったり、セキュリティ的にもSSHキーを使用するのは避けたい場合があります。 この記事ではOS別、IDE別にSSHキーを使用せずにEC2に接続する方法を紹介します。 前提条件 Session Managerが有効化されているEC2インスタンスがあること OpenSSHがインストールされていること OpenSSHのインストール方法: Windows: Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH*' 管理者権限でPowerShellを起動することが必要です。詳細はこちら Mac/Linux: brew install openssh 事前準備 - Remote拡張機能のセットアッ
任意のパラメータを格納できる EC2 Systems Manager「パラメータストア」を試したら便利だった - kakakakakku blog
re:Invent 2016 で発表されたけど，オンプレ関連だと勝手に思い込んでいて，今まで試していなかった Amazon EC2 Systems Manager の中に「パラメータストア」というサービスがあり，試してみたらこれが非常に便利だった．簡単に言うと，任意のパラメータをパラメータストアに格納することができて，アプリケーションと環境変数を完全に切り離すことができてしまうというもの．The Twelve-Factor App を実現できるぞ！ Amazon EC2 Systems Manager (Amazon EC2 とオンプレミスシステムの設定と管理) | AWS パラメータストアとは？ 任意のパラメータをパラメータストアに格納することができる データタイプは3種類ある String String List Secure String (パラメータを KMS で暗号化して格納する
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
踏み台EC2を廃止してSession Manager接続に置き換えました
毎日生まれ変わるセキュアな踏み台サーバ - Hatena Developer Blog
AWSのCLI作業はどこで行う？ 安全に管理するパターンとメリデメ集 | DevelopersIO
ECSでごっつ簡単に機密情報を環境変数に展開できるようになりました！ | DevelopersIO
踏み台にはECSコンテナを。～ログイン有無を検知して自動停止させる～ - NRIネットコムBlog
秘密情報には出どころも書いてくれ！頼む！ - KAYAC engineers' blog
1日でSSHをやめることができた話 #jawsdays
セッションマネージャー越しにSSHアクセスすると何が嬉しいのか | DevelopersIO
SSHキーを使わずにVSCode/Jetbrains系IDEからEC2に接続する方法