Techfirm Cloud Architect Blog

テックファーム株式会社クラウドインフラグループのブログ

AWS

AWSルートアカウントに複数の仮想MFAデバイスを割り当てる(WinAuth)

AWSルートアカウントにWinAuthで2つめの仮想MFAデバイスを割り当てしてみました。

AWS WAFでカウントモードで検知したルールをAmazon Athenaで検索する

AWS WAFログの、rulegrouplistフィールドの仕様や、COUNTモードで検知したルールをAmazon Athenaで検索するクエリを説明します。

Trusted Advisorを使ったAWS環境の見直し

AWSのコスト最適化やセキュリティなど、推奨事項を管理できるTrusted Advisor。本記事では、Trusted Advisorを用いたAWS環境の最適化について説明します。

初心者向けAWS解説シリーズ~VPCその1編~

はじめに 本稿は、AWSが提供しているAWSサービスのAmazon VPCについて触れていきます。まずは、VPCの主要な機能・サービスについて概要を記載し、その中で今回はネットワークの構成要素であるVPC・サブネット・インターネットゲートウェイ・ルートテーブルに…

RDS Proxyを使ってクロスアカウントのプライベート層RDSにアクセスする方法

はじめに クロスアカウントのRDSに接続する場合、簡単に接続を構築する手法としては下記の様なものがあります。 パブリック接続 VPCピアリング PrivateLinkとNLB RDSへのパブリック接続はセキュリティ上好ましくないため、VPCピアリング接続を検討するケース…

Glacierアーカイブされた大量のログを簡単復元!S3バッチオペレーションの使い方を解説

S3のライフサイクルルールでGlacierアーカイブされた大量のログファイルを復元するときに、S3バッチオペレーションを使って効率化する方法を紹介します。 なぜ復元にS3バッチオペレーションを使うのか 今回はS3バケットに保存されたALBのログを例に、Glacier…

EC2サーバのPostfixから外部の宛先にメール送信するまで ①

EC2サーバにPostfixをインストールし、外部のメールアドレスにメール送信を行う手順を紹介します。

EC2サーバのPostfixから外部の宛先にメール送信するまで ②

EC2サーバにPostfixをインストールしメール送信を実行後、DKIM/DMARC等を設定しなりすまし対策を実施します。

Trusted Advisorを使ったAWSコスト見直し

AWSのコスト最適化やセキュリティなど、推奨事項を管理できるTrusted Advisor。本記事では、Trusted Advisorを用いたコスト最適化について説明します。

メンテナンスウィンドウ、リソースグループ、オートメーションを使用して、複数EC2、RDSを自動起動・停止する方法

はじめに AWSのリソースは、EC2やRDSの様に、起動時間によって課金されるものが多くあります。 そのため、不要な時には停止したいという要望はいろんな場面で出てくるでしょう。 とくにRDSは停止してから7日経過すると自動で起動するので、何もせずに放って…

Terraformで作る初めてのEC2 Image Builderパイプライン

Terraformを利用してEC2 Image Builderの環境を構築しました。AMI作成環境自体をIaCで管理することで効率化を加速します。

【AWS】ECS on EC2 エージェントの登録について

はじめに Amazon ECSにおいてEC2インスタンスをホストで稼働させる場合、Fargateと異なりエージェントの登録といった作業が必要になります。 今回は、ECS on EC2環境のECSエージェントの登録方法について忘備録としてまとめます。 エージェントの登録手順 ク…

Auto Scaling GroupのライフサイクルフックでEIP割り当て

Auto Scaling Groupから起動したEC2サーバにライフサイクルフックでEIPを割り当てる方法を紹介します。EC2サーバにEIPに対する権限を付与せず実装できます。

IAMユーザーでMFA強制とするが、CodeCommitはMFA認証の対象外とする方法

はじめに 以前、IAMユーザーにMFA強制させる方法について書きました。 CodeCommitを利用する場合、Git認証はAWS CodeCommit の HTTPS Git 認証情報を利用し、GitクライアントにID/パスワード設定する使い方が多数派ではないかと思います。 ※git-remote-codec…

従来のネットワークスクリプトからネットワーク設定を手動で移行する方法

はじめに leappコマンドを使ったRed Hat Enterprise LinuxのOSアップグレード時に以下のようなメッセージが表示されOSのアップグレードがブロックされることがあります。 Risk Factor: high (inhibitor) Title: Network configuration for unsupported devic…

EC2 Instance Connectの使い方(パブリック IP アドレス不要!)

はじめに EC2 Instance Connect Endpointを使うことで、EC2インスタンスにパブリックIPアドレスを付与せずにSSH接続が行えるようになりました。 実際に使ってみたいと思います。 使い方 準備 接続先となるEC2インスタンス EC2 Instance Connectの導入が必要…

Mountpoint for Amazon S3の使い方

はじめに Linux環境においてAmazon S3のファイルアクセスはAPI、AWS CLIの利用が多いかと思います。 しかし、さまざまな事情で先の方法は使用せずAmazon S3を直接マウントしてファイルを取得したいケースもあるかと思います。 このようなケースに使えるMount…

ALBセキュリティポリシー変更前に既存リクエストへの影響を調査する

SSL/TLS通信で利用が推奨されるTLSのバージョンや暗号スイートは日々更新されています。 新規で構築した時点では最新の推奨セキュリティポリシーだったとしても、運用中にセキュリティチェックや脆弱性診断で指摘が入り、非推奨のTLSのバージョンや暗号スイ…

Prisma CloudでAWS Fargateのランタイムを保護してみる

はじめに 最近コンテナをプロジェクトで使う機会も増えてきましたが、コンテナのセキュリティ対策で悩むことも多いのではないでしょうか。 今回はPalo Alt NetworksのPrisma Cloudを導入する機会がありましたので、Prisma CloudでAWS Fargateのコンテナラン…

初心者向けAWS解説シリーズ~ストレージ編~

はじめに 本稿は、AWSが提供しているストレージサービスについて触れていきます。 ストレージとは ファイルやデータを保存しておく場所のことを指します。 データの取り扱い単位によって、 「オブジェクトストレージ」「ファイルストレージ」「ブロックスト…

FalcoでAWS Fargateのランタイムを保護してみる

はじめに 最近コンテナをプロジェクトで使う機会も増えてきましたが、コンテナのセキュリティ対策で悩むことも多いのではないでしょうか。 FalcoがAWS Fargateに対応しているようなので、今回はFalcoでAWS Fargateのコンテナランタイムの保護ができるか検証…

AWS IP アドレスの範囲を確認する方法

AWS

はじめに たまにAWSサービスのIPアドレス範囲を確認する必要があったりするため、備忘として記しておこうかと思います。 AWSだけで完結するシステムは、マネージドプレフィックスリストがあるサービスだと省略できることもあるのですが、他クラウドやオンプ…

AWS WAFで複数ステートメントからなる独自ルールを作成して特定ウェブリクエストをブロックする手順

はじめに システム運用を行っていると、特定条件に当てはまったウェブリクエストのみ許可あるいは拒否したい等の要望が出てくることがあります。 AWS WAFの独自ルールで以下の条件すべてに当てはまるウェブリクエストをブロックする手順についてまとめてみた…

【AWS】EC2の自動起動/停止をTerraformで実装

はじめに 以前、こちらの記事でAmazon EventBridgeを使った、EC2の起動・停止を自動化する方法、を紹介しました。 techblog.techfirm.co.jp この仕組みを、Terraformで作成している環境に追加する機会がありましたので、コードを紹介します。 前提 今回は既…

AWS環境構築に役立ちそうなCISベンチマーク

AWSでのセキュリティ設定に役立つCISベンチマークをご紹介します。

Terraformで作ったHTTP APIにServerless Frameworkからデプロイしてみた

Terraformで作成したHTTP API(API Gateway)にServerless Frameworkからデプロイする方法をREST APIと比較しながら紹介します。

Amazon RekognitionとAWS Lambdaを使用してS3内に保存された画像データ内にある顔の類似度判定を行う

Amazon Rekognitionとは Amazon Rekognitionはディープラーニング技術を基盤とした画像および動画分析サービスです。 画像や動画の中の物体、人物、テキスト、シーンなどを検出・分析できます。 具体的には以下のようなケースで利用されます。 マスクやヘル…

S3 MFA Deleteでオブジェクトの削除保護を有効化する

S3 MFA Deleteとは S3 MFA DeleteとはAmazon S3オブジェクトの誤削除を防止するセキュリティ機能の1つで、バケットからオブジェクトを削除する際にMFAデバイスによる二段階認証を必須にできます。 なおこの機能を使用する際に以下の制限を考慮する必要があり…

パーティション射影を使用したAthenaでの AWS WAF ログ分析

はじめに AWS WAFのログ分析を手軽に実現したいと検討していたところ、AWS公式ドキュメント上にAWS WAF ログのクエリ - Amazon Athenaを見つけて試してみました。 ポイントはパーティション射影を利用している点です。 前提 AWS WAFと紐づけ先のCloudFront、…

AWS Lambda を使用して"Hello World"をサーバーレスで実行する

はじめに 近年、ITシステムの設計の開発手法として、「サーバーレス」が非常に注目されています。 サーバーレスとは、個々の利用ユーザ企業の管理者がクラウド上にあるサーバの存在を意識せずにアプリケーションやデータベースの利用ができるクラウド利用形…