マルチプロダクト開発の現場でAWS Security Hubを1年以上運用して得た教訓やあれこれ - ANDPAD Tech Blog
こんにちは。SREチームの吉澤です。年末はイベントが多かった関係でネタがあったので、ANDPAD Advent Calendar 2024の6日目に続き、19日目も私が担当します。 先日12/13(金)に、Findy社のオンラインイベント「クラウドセキュリティを再吟味するために〜実例から学ぶ、考慮すべき観点とその対策事例〜」にお呼びいただき、AWS Security Hubの運用について講演しました。 今回はこの講演の内容と、10分の講演時間内には話しきれなかったリアルなあれこれをご紹介します。 講演：マルチプロダクト開発の現場でAWS Security Hubを1年以上運用して得た教訓 AWSによるコントロールの追加・削除はどれくらいあるのか？ 調査方法 結果 過去に発生したSlackへのプッシュ通知の件数は？ 調査方法 結果 過去に発生したSlackへの通知の理由で、特に多かったものは
AWSのIAMロールに必要な権限が付与されているかシミュレートするCLIツールを書いた - 私が歌川です
はじめに 表題のようなCLIツール aws-iam-policy-sim を書きました。 github.com 使い方 Statement フィールドに、以下のようなオブジェクトの配列が入っている、というJSONファイルを用意しましょう。 Action フィールドにアクション名もしくはその配列 Resource フィールドにリソースもしくはその配列 たとえば以下の通りです。うっすらお気づきの方もいると思いますが、実はポリシードキュメントのJSONがそのまま使えます。 { "Statement": [ { "Action": [ "s3:PutObject", "s3:GetObject", "s3:GetObjectTagging", "s3:DeleteObject" ], "Resource": [ "arn:aws:s3:::example-bucket/*" ] }, { "Act
AWSのTerraformでDynamoDB state lockingからS3-native state lockingに移行する - くりにっき
前置き 手順 Terraformのbackendを書き換える Terraformで使ってるIAMユーザやIAMロールがterraform.tfstate.tflockにアクセスできるようにする この時点でTerraform実行時にDynamoDBが不要になっているはずなのでTerraformを実行する 問題なければTerraform実行用のDynamoDBのテーブルと、そのテーブルへの権限を消す あとがき1 あとがき2 前置き 先日Terraform 1.10がリリースされました。 www.hashicorp.com github.com Experimentalではありますが個人的には Introduce S3-native state locking （Terraform実行時のロックでDynamoDBが不要になる）がアツイ機能で、いち早く使いたいと思っていました。 github.co
AWS Database Migration Service を使用した EC2 データベースの Amazon RDS への自動移行を発表 - AWS
AWS Database Migration Service を使用した EC2 データベースの Amazon RDS への自動移行を発表 AWS は Amazon Relational Database Service (Amazon RDS) の「ワンクリックでマネージド型に移行」機能を発表しました。これにより、セルフマネージド型の MySQL、PostgreSQL、または MariaDB データベースを、同等の Amazon RDS または Amazon Aurora データベースに簡単かつシームレスに移行できます。 Amazon RDS コンソールでワンクリックでマネージド型に移行機能を使用すると、Amazon EC2 サーバーで実行されているセルフマネージド型データベースを、マネージド Amazon RDS または Aurora データベースに移行できます。この機能により、インフ
[アップデート] セキュリティグループを別の VPC で使えるようになりました | DevelopersIO
いわさです。 今朝の AWS API のアップデートみましたか。これ。 セキュリティグループを VPC に関連付け出来るようになったらしいのです。 どういうことだろう。VPC 内で共通で適用されるセキュリティグループが登場したのか？と思ったのですが、どうやら別の VPC 内でセキュリティグループを使えるようにするアップデートのようです。 What's New アナウンスも出ていました！ これは驚きですね。 これまではセキュリティグループは VPC に関連付けして作成し、その VPC 内の EC2 や ENI にアタッチする形でした。 異なる VPC 間のセキュリティグループで ID の参照は出来ましたが、インスタンスやネットワークインターフェースへのアタッチは出来ませんでした。 そのため、同じセキュリティグループを別の VPC で使いたい場合は、例えば次のような方法でコピーする必要がありま
![[アップデート] セキュリティグループを別の VPC で使えるようになりました | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/4dc8834472389a8411d6a2f3e9132d0c9aee24e2/height=288;version=1;width=512/https%3A%2F%2Fimages.ctfassets.net%2Fct0aopd36mqt%2Fwp-thumbnail-50706ca4b3af64b50895745fa3ba1180%2F47af3f43efd69adb20976f201c9c3366%2Famazon-vpc)
RubyKaigi 2024 のサイネージについて
今月中旬に沖縄県那覇市で RubyKaigi 2024 を開催した。COVID-19 対応をしていた RubyKaigi Takeout 2020, RubyKaigi Takeout 2021, RubyKaigi 2022, RubyKaigi 2023 とは異なり、今回は配信を伴わないオフラインのみの開催だった。 わたしは Organizer の一人として Sponsor Relations 業などをしつつ、Wi-Fi の支度をしたり、サイネージの支度をしたりしていた。Wi-Fi の話はこれまでもいくつか書いている のでまた今度として、今回はサイネージの話をかきます。 RubyKaigi ではいくつかのサイネージの映像を用意して会場のあちこちに表示している。各セッション会場の横に添えて字幕やチャット, LT タイマーを流すサブスクリーン、お知らせやセッション案内を廊下に設置したモニタ
新着情報 – パブリック IPv4 アドレスの利用に対する新しい料金体系を発表 / Amazon VPC IP Address Manager が Public IP Insights の提供を開始 | Amazon Web Services
Amazon Web Services ブログ 新着情報 – パブリック IPv4 アドレスの利用に対する新しい料金体系を発表 / Amazon VPC IP Address Manager が Public IP Insights の提供を開始 AWS は、パブリック IPv4 アドレスの利用に対して新しい料金体系を導入します。2024 年 2 月 1 日より、特定のサービスに割り当てられているかどうかに関わらず、すべてのパブリック IPv4 アドレスの利用に対して 1 IP アドレスあたり 0.005 USD/時間 が課金されます（アカウントに払い出されているものの、 どの EC2 インスタンスにも割り当てられていないパブリック IPv4 アドレスに関しては、すでに課金が適用されています）。 パブリック IPv4 アドレスの新しい料金体系 IPv4 アドレスはますます希少な資源となって
GitHub Actions – Update on OIDC integration with AWS · GitHub Changelog
AI & MLLearn about artificial intelligence and machine learning across the GitHub ecosystem and the wider industry. Generative AILearn how to build with generative AI. GitHub CopilotChange how you work with GitHub Copilot. LLMsEverything developers need to know about LLMs. Machine learningMachine learning tips, tricks, and best practices. How AI code generation worksExplore the capabilities and be
AWS IAM アイデンティティセンターで Google Workspace からの自動ユーザープロビジョニングのサポートが開始
Google Workspace を AWS IAM アイデンティティセンター (AWS Single Sign-On の後継) に一度接続すれば、IAM アイデンティティセンターで AWS アカウントとアプリケーションへのアクセスを一元管理できるようになりました。この統合により、エンドユーザーは自分の Google Workspace ID を使用してログインし、割り当てられたすべての AWS アカウントとアプリケーションにアクセスできます。この統合により、管理者は複数のアカウントにわたる AWS アクセス管理を簡素化すると同時に、エンドユーザーのサインイン後も使い慣れた Google Workspace エクスペリエンスを維持できます。IAM アイデンティティセンターと Google Workspace により、ユーザーを安全に IAM アイデンティティセンターにプロビジョニングできま
AWS LambdaでRuby 3.2の利用が可能に、初のRuby 3.xサポート。Ruby 2.7のサポートは2023年12月で終了
AWS LambdaでRuby 3.2の利用が可能に、初のRuby 3.xサポート。Ruby 2.7のサポートは2023年12月で終了 Amazon Web Services（AWS）は、同社のサーバレス基板「AWS Lambda」でRuby 3.2ランタイムのサポートを開始したと発表しました。 これまでサポートされていたのはRuby 2.7でしたので、AWS Lambdaとしては初めてのRuby 3.xのサポートとなります。 Rubyは2.xから3.xへのバージョンアップにおいて実行速度の向上を大きな目標としていました。特に今回サポートされたRuby 3.2では、Ruby 3.1でメインラインにマージされ、安定して稼働する実用段階に到達したJITコンパイラ「YJIT」が搭載されています。 YJITは、ECサイト構築サービスで知られるShopifyが開発を進めてきたもので、大規模なRail
AWS提供でないベースイメージからLambdaを作る - Qiita
はじめに 以前、コンテナイメージからLambdaを作りました。 ところが諸事情（Amazon Linuxでは、PowerShellが十全に動かせず、MS365の監査ログが取得できない）のため、Ubuntuをベースとしたコンテナを作ろうとした際に、わかったことややったことを記事にします。 参考 コンテナイメージを使ったLambdaの仕組みについての解説は以下になります。 Dockerfileの作り方の参考にしたのは以下です。 Lambda動作の仕組み 公式の解説に書いてある内容の自分なりの解釈です。 Lambda関数を実行するには、Lambdaサービスとランタイムの間で対話が必要 普通のコンテナイメージそのままでは、この対話ができないのでLambdaでは動かない AWSが提供するLambdaのベースイメージには、これらが実装済み 自前のコンテナの場合は、AWS提供の言語ごとのRuntime
GitLab GCPに 移行した（前編） - pixiv inside
こんにちは、インフラ部の id:sue445 です。 先日ピクシブ社内で利用しているGitLabをオンプレミス環境からGCPに移行しました。 とても長いので全3回にわけて紹介したいと思います。 全体の構成 前編：前置きとアーキテクチャ検討 中編：環境構築 後編：実際の移行作業とその前後の対応。移行後の所感など 今回の目次 全体の構成 今回の目次 tl;dr; 移行の理由 筆者略歴 GitLab移行の時系列 やったこと1: アーキテクチャ検討 構成図 GitLabをクラウドに移行するための障壁をまとめた URLをどうするか Cloud IAP利用時の通信のオーバーヘッドをなくしたい 実際にGCP移行した後の構成 AWSでPoC環境を作った時の構成 LDAPからの依存をやめたい＆複数のログイン方法を統一したい ssh接続時にあるLDAP依存を不要にしたい 余談 AWS移行案 GCP移行案 Gi
秘密情報をGitLabに格納することなくGoogle Cloud / AWSに対して認証する - エムスリーテックブログ
エムスリーエンジニアリンググループ AI・機械学習チームの笹川です。 趣味はバスケと筋トレで、このところはNBAはオフシーズンですが、代わりにユーロバスケが盛り上がっていて、NBAに来ていない良いプレーヤーがたくさんいるんだなーと思いながら見ています。 夜ご飯を催促するためデスク横で待機する犬氏（かわいい） 今回は、パブリッククラウドへの認証に必要な秘密情報をGitLab自体に格納することなく、安全に認証する方法について紹介します。 CI/CDの実行時のパブリッククラウドに対する認証 ナイーブな手法とその問題点 OpenID Connectを用いた認証 Terraformでパブリッククラウド側の設定を記述する Google Cloudの場合 AWSの場合 GitLab CI/CDで認証する Google Cloudの場合 AWSの場合 認証ステップの共通化 まとめ We are hirin
GitHub ActionsにAWSクレデンシャル情報を渡さずにTerraformでCI/CDをやってみた
概要 先日、非公式ながらGitHub ActionsのAWSアクションで以下のような面白い機能が発表されました。 よりわかりやすく嚙み砕くとこういうことです。 Circle CIやGitHub ActionsでAWSを使う場合は事前に環境変数にアクセスキーとシークレットキーを登録させてCIを動かしてきましたが、そのためにIAMユーザーを発行して鍵を管理するのは手間だったのでこれはいいアップデートです。 今回はTerraformとGitHub Actionsを組み合わせたCI/CDにこの機能を取り入れてGitHub ActionsにIAMロールを渡してEC2インスタンス構築のCI/CDを実装してみようと思います。 GitHub Actionsを用いたTerraformのCI/CD TerraformでAWSリソースをデプロイする際にGitHub ActionsやCircle CIでCI/CD
至極の難問AWS & GCPクイズ - くりにっき
社内勉強会で発表したら好評だったので公開 注意 問題1 問題2 問題3 問題4 問題5 おまけ：発表中の社内の反応 余談 1年前の僕 2ヶ月前の僕 関連クイズ 注意 全問解けても仕事の役にはたちません ググるのは禁止 問題1 Q: 正しい組み合わせはどれか？ AWS: CloudShell / GCP CloudShell AWS: Cloud Shell / GCP CloudShell AWS: CloudShell / GCP Cloud Shell AWS: Cloud Shell / GCP Cloud Shell 回答 正解: 3 (AWS: CloudShell / GCP Cloud Shell) AWSがCloudShell（空白が入らない）で、GCPがCloud Shell（空白が入る）です AWSは単語と単語の間に空白を入れない印象がある 問題2 Q: 正しい組み合わ
AWS Serverless Application Model 入門ハンズオンシリーズ - log4ketancho
手を動かしながら AWS Serverless Application Model （SAM）について理解を深めるためのハンズオン記事を書いています。記事が溜まってきたので、上から順にやっていけば SAM を使いこなせるような形に改めて構成し直しました。 私の気になる機能を中心に使い方を調べ、ハンズオンに落とし込んでいます。進める中で、不明点や上手くいかない点が見つかれば、遠慮なくコメントいただければと思います。また、こんなことやりたいんだけどできるの？という調査要望（？）も大歓迎です。 AWS SAM とは AWS が提供しているサーバレスな構成を構築するためのフレームワークです。Cloud Formation の拡張で、Lambda、API GW、DynamoDB の構築をより簡単に行える仕組みとなります。位置づけとしては、Serverless Framework と同じですね。Clo
S3署名バージョン2廃止を受け「どうしたものか…」と困っている方へ！まずは気になる対象を確認してみましょう。 | DevelopersIO
環境と検証方法 環境 FTP用サーバ OS： Windows2016(ami-0071141e8929a58d5) ツールバージョン： 取得できる最新バージョン（上記表に記載） マウント用サーバ OS： AmazonLinux(ami-00a5245b4816c38e6) ツールバージョン： Githubより取得 アクセス用S3バケット（blog-sonobe-s3v2） CloudTrail用S3バケット（blog-sonobe-s3v2-logs） CloudTrail 証跡： blog-s3vs 検証方法 [事前] ClouTrailの有効化 アクセス用S3バケット作成 FTP用サーバ作成とツールインストール マウント用サーバ作成とツールインストール [確認方法] アクセス用S3へ接続 ファイルのアップロードや削除などの操作を実施 CloudTrail用S3へ出力されたログファイルを
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Aurora MySQL 3.08.0(MySQL 8.0.39互換)がリリース！低速なSELECT COUNTは改善されたのか!? - CyberAgent SRG #ca_srg
AWSのコストを４桁万円削減して円安をなかったことにした話
Amazon_CodeCatalyst_で_Web開発.pdf