1 Minute Tips

投稿者: sumito.tsukada

  • S3 で自分の暗号化キーを使ってサーバーサイドエンクリプトをする

    Tips

    自分のキーを持ち込みたい場合、

    SSE-C を使うことで独自の暗号化キーを使うことが可能。

    参考情報

    https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/userguide/ServerSideEncryptionCustomerKeys.html

  • DDoS 攻撃への対処

    さまざまな対処法がある。

    Amazon Route 53 による制御

    • シャッフルシャーディング
    • anycast ルーティング

    DDoS 攻撃を受けていても連携してエンドユーザーがアプリケーションにアクセスできるようにする2つの機能がある。 

    AWS Shield AdvancedとAWS WAF

    • DDoS攻撃の緩和
    • レイヤー7での保護

    AWS WAF

    カスタマイズ可能なウェブセキュリティルールを定義することで、ウェブアプリケーションに対するどのトラフィックを許可またはブロックするかを制御できる。

    SQL インジェクションまたはクロスサイトスクリプティングに加え、カスタマイズされたルールを使うことができる

    AWS Shield Advanced

    CloudWatch でのリアルタイムの通知によって、DDoS 攻撃に対する完全な可視性が可能になる。

    AWS Shield Standard

    レイヤー3/レイヤー4攻撃を軽減できるが、詳細なリアルタイム通知や可視化機能が提供していない。

  • 誤って割り当てた STS のアクセス権を剥奪するには

    一時認証によって付与されたアクセス権を取り消す方法を考える。

    STSによって間違った権限を付与してしまった場合、

    IAMダッシュボードにおいて、ユーザーに提供した特定のロールを選択し、取り消し設定を利用してSTSの許可ロールを取り消すことができる。

    STSなどの一時的な認証情報をユーザーに付与したとき、ユーザーが長いセッションの有効期間 (12 時間など) を使用して AWS マネジメントコンソール にアクセスできるようにすると、時間内であれば一時認証情報がすぐに期限切れになることはない。

    対処法

    IAMダッシュボードにおいて、ユーザーに提供した特定のロールを選択する。

    取り消し設定を利用して許可ロールを取り消す。

  • AWS Transit Gateway について

    概要

    AWS Transit Gateway を使うことで多数のVPCを管理することができるようになる。

    VPC ピアリングをする必要がなくなり、

    • VPC
    • オンプレのデータセンター
    • オフィス

    それぞれに単一の接続を構築して管理するだけで良くなる。

    Transit Gateway がハブの役割を果たし、トラフィックがスポークのように接続されたネットワーク間をどのようにルーティングするか等をすべて制御する。

    AWS Transit Gateway が提供するもの

    統計とログを VPC フローログ、 CloudWatch で参照できる。

    AWS Transit Gateway で VPC フローログを有効にすることができる。

    CloudWatch を使用してVPC <–> VPN 接続間の

    • 帯域幅の使用量
    • パケットフロー数
    • パケットドロップ数

    などが取得ができる。

    トランジットゲートウェイをファイアウォールまたは IPS（侵入防止システム）に接続したり、ネットワークのすべての入出力トラフィックを処理する単一の VPC を作成することもできる。

    AWS Transit Gateway network manager は、ネットワークトポロジーの変更、ルーティングの更新、接続ステータスの更新に関する組み込みのイベント通知を提供します。

    参考情報

    https://dev.classmethod.jp/articles/transit-gateway-vpc/

  • オンプレ⇄AWS Storage Gateway 間のセキュアな接続について

    AWS Storage Gateway はCHAPを使用して、ゲートウェイと iSCSI イニシエータの間の認証を行うことができる。

    CHAP を設定するには、AWS Storage Gateway コンソールと、ターゲットへの接続に使用される iSCSI イニシエータソフトウェアの両方で、設定を行う必要がある。

    Storage Gateway では相互 CHAP が使用され、イニシエータがターゲットを認証するときに、ターゲットもイニシエータを認証する。

    セキュアな iSCSI接続を実施するために必要なこと

    • CHAP（Challenge Handshake Authentication Protocol）を構成する
    • その上で、iSCSIとイニシエーター接続を認証する

    iSCSI イニシエーターとは

    iSCSI によって接続された機器に対する指示を出す部分

    参考情報

    https://wa3.i-3-i.info/word12375.html

  • VMware のインスタンスを AWS に移行する

    ダウンタイムを許容する際の移行方法について

    AWS Server Migration Service を使った移行

    AWS Server Migration Serviceを利用して、物理マシンのみならずVMware vSphereインフラストラクチャからAmazon EC2に仮想マシンをインポートすることができる。

    https://aws.amazon.com/jp/server-migration-service/

    AWS Server Migration Service は、短時間で AWS に移行できるサービス。

    ライブサーバーボリュームの増分レプリケーションの自動化、スケジュール設定が可能。

    VMware のインスタンスに対してAWS SMSを利用する際は、AWS Connector for vCenterと言うコネクターを移行対象となるオンプレミス環境のサーバーにインストールする。

    これにより、GUIを使用してVMware vSphereインフラストラクチャからAmazon EC2に仮想マシンをインポートできる。

    1. VMware vCenter から Amazon EC2 に移行する仮想マシンから EC2 インスタンスを起動。
    2. AWS Connector for vCenter を使用して仮想マシンを Amazon EC2 に移行

    と言う順番で行う。

    VM Import/Export を使った移行

    VM を既存の仮想化環境から Amazon EC2 にインポート、それを元の環境にエクスポートすることができる。

    この方法を使うメリットとして、

    • アプリケーションを Amazon EC2 へ移行
    • VM イメージカタログを Amazon EC2 にコピー
    • バックアップと災害対策のために VM イメージのリポジトリを作成できる

    といった点を挙げることができる。

    VM Import ではインポートプロセス中に VM が Amazon EC2 AMI に変換される。

    https://aws.amazon.com/jp/ec2/vm-import/

  • クロスアカウントアクセス

    やりたいこと

    以下の振る舞いを持つ サードパーティの Webアプリケーションを使用する際の制御

    • 自社のAWSアカウント内で実行されている EC2インスタンスへの API コマンドを発行するアクセス権が必要
    • 第三者による目的外利用ができない形式で権限を付与させる

    外部から自社の エンドポイントを叩くユースケースへの対応を考える必要がある。

    クロスアカウントアクセスで考えるポイント

    クロスアカウント許可を設定するIAMロールによって、限定的なアクセスを委任することができる。

    WEBアプリケーションが必要とする権限のみに限定したアクセス権限を付与したIAMポリシーを設定する必要がある。

    それに基づいたクロスアカウントアクセスが可能となるIAMロール（サードパーティ社用のロール）を作成し、該当WEBアプリケーションに設定する流れだ。

    これにより、第三者に資格情報を漏洩することなく、IAMロールの管理によって第三者の情報もコントロールすることができるようになる。

    ユーザーが所有する異なる AWS アカウント にあるリソースへのアクセスを委任する方法としてクロスアカウントアクセス許可とIAMロールの設定がある。

    特定のアカウントにある特定のリソースを別のアカウントのユーザーと共有することができる。

    クロスアカウントアクセスを設定するメリットとして、利用者はアカウントごとに IAM ユーザーを作成する必要がなくなる。

    参考情報

    ちなみに、API Gatewayを使う際、APIリクエストはIAMロールなどの権限がない外部システムやユーザーから実行が可能。

    また、AWS Organizationsはアカウントで IAM ロールを使って、特定のAWSアカウントのリソースへのアクセス権を別の AWS アカウントに付与できる。

    この場合は IAMユーザーを利用するわけではない。

  • Dockerfile での COPY コマンドによる「cannot copy to non-directory」というエラーについて

    Dockerfile での COPY コマンドによる「cannot copy to non-directory」というエラーについて

    Dockerfile に

    COPY data /direcotry/

    上記 の通り記載したところ

    cannot copy to non-directory: /var/lib/docker/overlay2/mmfii39iwldt2x2p997ukyz4m/merged/directory/export

    というエラーになった。

    コピー先のディレクトリ名まで記載することで問題は解消できる

    COPY data /direcotry/data

     

  • 年月を、シェルでゼロ埋めする

    MONTH や DAY が 8 (一桁) の時、

    YYYYMMDD 形式でフォーマットが崩れないようにするためのワンライナー

    YYYYMMDD=${YEAR}$(printf "%02d" ${MONTH})$(printf "%02d" ${DAY})

  • VPC とサブネットで IPv6 の使用を有効にするためのステップ

    以下の順番に対応する

    1. AWS が提供する IPv6 CIDR ブロックを VPC およびサブネットと関連付ける。
    2. IPv6 トラフィックがルーティングされるようにルートテーブルを更新。

      パブリックサブネットの場合
      サブネットからインターネットゲートウェイに IPv6 トラフィックをすべてルーティングするルートを作成する。

      プライベートサブネットの場合
      サブネットから Egress-only インターネットゲートウェイに
      インターネット経由の IPv6 トラフィックをすべてルーティングするルートを作成する。
    3. IPv6 アドレスのルールを含めて、セキュリティグループルールを更新する。
      これを行うことでIPv6 トラフィックはインスタンスに出入りできるようになる。

      カスタムネットワーク ACL ルールを作成して、サブネットに出入りするトラフィックの流れを制御している場合、
      IPv6 トラフィックのルールを含める必要がある。
    4. インスタンスタイプが IPv6 をサポートしていない場合は、インスタンスタイプを変更する。
    5. サブネットの IPv6 アドレスの範囲からインスタンスに IPv6 アドレスを割り当てる。
    6. DHCPv6 を使用するように設定されていない AMI からインスタンスが起動された場合、
      インスタンスに割り当てられている IPv6 アドレスが認識されるように
      手動でインスタンスを設定する必要がある。