洸樹(114)336336件のシェア(そこそこ話題の記事)この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。AWSに限らず、システム運用をしていると様々な課題が見つかります。課題はシステムや担当者の立場によって、様々です。情報システム管理部門の場合、内部統制がよく課題にあがります。Catalogを利用すると課題解決できるかもしれません。具体的な課題を見つけられれば、その解決に努めれば良いかと思います。システム運用を担当されているかたの中にはAWS環境を見直したいが、そもそも何が出来るのかわからないといったかたも多いかと思います。改善にはすぐに出来るもの、重要度が高いもの、アプリケーションの改修が必要なものなど、様々な内容があります。フェーズごとに検討すると良い内容をご紹介します。改善項目を2つの視点で、分類します。観点5つの視点から改善ポイントを分類します。セキュリティ信頼性パフォーマンスコスト運用性フェーズ重要度や即効性などを考慮し、優先順位をつけます。3段階にわけ、ファーストフェーズを最優先します。優先順位は実環境に合わせて、カスタマイズしてください。ファーストフェーズ重要度が高いまたは、即効性のある項目です。セカンドフェーズファーストフェーズと合わせて実施すると効果の高い項目です。サードフェーズ必要に応じて実施すると良い項目または、アプリケーション改修が必要な内容です。Advisorは、コスト、パフォーマンス、セキュリティ、耐障害性、サービスの制限について、アドバイスしてくれるサービスです。サポートプランによって、チェック項目が異なります。セキュリティについては、セキュリティグループの無制限アクセス、S3バケット許可などをチェックしてくれます。セキュリティについては、赤の指摘項目は0にしましょう。insightwatchinsightwatchは、弊社が提供するサービスです。AWSアカウントが、ガイドラインに沿ったセキュリティのベストプラクティスで運用されているかチェックします。複数アカウントをチェックしやすいため、たくさんのアカウントを運用されているかたに特にお勧めします。どなたでも無料でご利用いただけます。ベストプラクティスに基づいた見直しを行います。どこまでベストプラクティスに沿った対応を行うかはケースバイケースです。判断はこちらの資料が参考になります。AWSアカウントの不正利用を防ぐためにの内容は確認、対応しましょう。ログ有効化なにかあった時に、後から追跡できるようにAWSサービスのログ出力を有効化しましょう。ログ有効化は比較的簡単に行えます。課金は発生しますが、本番サービスのAWSサービスログは有効化しておくといいでしょう。GuardDutyは、マルウェアへの感染が疑われるケースや、IAMの悪用が疑われるケースに気がつくことができます。課金は発生しますが、本番/検証問わず有効化しておくといいでしょう。GuardDuty(マネージド型の脅威検出サービス)脆弱性診断OSやミドルウェアを対象にしたプラットフォーム診断と、Webアプリケーションを対象にしたWebアプリケーション診断を行いましょう。脆弱性のあるOS、ミドルウェア、Webアプリケーションを利用していると、悪意のあるユーザーから攻撃を受けるなどしてセキュリティインシデントに繋がります。Inspectorで実施できます。OSやミドルウェアの脆弱性が見つかったら、バージョンアップなどの対応を行います。Webアプリケーション診断は、専門のセキュリティベンダーに依頼します。価格や手法はベンダーによって様々ですが、ツールを利用した診断は安く、エンジニアが対応する度合いによって高くなる傾向があります。弊社では、ツールを利用したフートスキャンを提供しています。セキュリティ製品(アンチマルウェア,IDS/IPS,WAF)責任共有モデルに置いて、OS以上のレイヤーはユーザーの責任範囲です。Practicesでは、マルウェア対策として、アンチウイルス、ホストベースのIDSが紹介されています。セキュリティ対策としてWAFを考える場合、WAFを導入する理由を整理して、製品を選ぶと良いでしょう。脆弱性診断とアップデートなどの対応を行った上で、セキュリティ製品を導入するとシステムを保護しやすくなります。AWSサービスのセキュリティ設定見直しAWSサービスはそれぞれセキュリティ設定を持っていることがあります。deleteといった形です。S3,SQS,DynamoDB,KMSなど各サービスのセキュリティ設定を見直しましょう。Rulesを利用してセキュアな設定を維持します。マネージドConfigルールで対応できるか確認すると、運用は楽になります。マネージドConfigルールは、こちらで確認できます。暗号化は2つに分けて考えます。保管されたデータの暗号化と、通信データの暗号化です。保管されたデータの暗号化は要件に応じて実施するといいかと思います。AWSのサービスを利用すれば、簡単に暗号化できます。具体的な手法や手順はEBS、RDS、S3などのユーザーガイドを参照します。通信の暗号化は、暗号化されたプロトコルを利用できないか検討します。HTTPならHTTPS、FTPならFTPSやSFTPといった形です。プロトコルの変更が難しい場合、VPNの利用を検討します。集めたログを可視化したり、分析します。Logicのようなパートナー製品を利用します。Advisorフォールトトレランスの項目では、スナップショット、EC2アベイラビリティゾーンのバランスなどを確認できます。検証環境であれば片方のアベイラビリティゾーンだけ使うといったことはよくあります。不要な指摘は、非表示にできます。バックアップを取得しているだけで満足していませんか。53のレコード変更、RDSエンドポイントの変更など様々な内容があります。最低限、必要な復旧作業の大枠だけでも整理しておけると安心です。AWSサービス制限の確認AWSサービスには、引き上げが可能なソフトリミットと変更不可能なハードリミットがあります。Advisorのサービス制限項目を確認します。IPなど制限にかかりやすい項目について、確認し必要であれば引き上げを申請しましょう。Configが便利です。セキュリティグループなどAWSリソースの変更を記録します。運用をしていく中で、セキュリティグループなどが意図しない設定になってしまうケースがあります。Configは、あとから時系列で変更を追跡できます。負荷分散(CloudFront,ELB)CloudFrontでキャッシュしたり、ELBでEC2の不可分散を行います。既存環境に設定する場合は、ミドルウェアなどの設定変更が必要になるケースがあるのでご注意ください。障害からの自動復旧AWSリソースを監視し、障害発生時は自動で再起動するといった対応を行います。CloudWatchアラームを利用したり、パートナー製品を利用します。Scalingを検討します。時間、アクセス量、リソース状況などに応じてEC2を増減できるようになります。アプリケーションの改修やデプロイの考慮が必要な場合があるので、留意ください。Advisorは、パフォーマンスについても指摘してくれます。セキュリティグループのルール数が多いとパフォーマンスが低下する場合があります。指摘項目を元に、セキュリティグループ、EC2インスタンスタイプ、EBSのオプションなどを見直します。モニタリングCloudWatchやパートナー製品を利用して、リソースやシステムをモニタリングします。53のヘルスチェックが手軽に導入できます。ELBでのTLS終端TLSの終端をELBにオフロードすることで、EC2のCPU負荷を低減します。サービスの検討(ElastiCache,CloudFront,Aurora)インメモリデータキャッシュとして、ElastiCacheを利用したり、Webコンテンツをユーザーに地理的に近いエッジにキャッシュするCloudFrontを検討します。アプリケーションの改修が必要なケースがあるので留意ください。Advisor使用頻度の低いEC2,EBS,ELB,Redshiftや、関連付けられていないEIPなどを確認できます。利用されていないEC2を見つけたり、インスタンスサイズ変更のきっかけを見つけられます。Schedulerやパートナー製品で利用しない時間帯のEC2を停止します。検証用のインスタンスであれば、平日日中帯だけ起動しておけばコストを削減できます。課金アラーム課金アラームを設定し、コストを把握できるようにします。コスト配分タグコスト配分タグを利用し、システムや利用部門ごとのコストを把握します。タグに対応してないサービスもあるので、基本的にはシステムや部門ごとにAWSアカウントを分けた方が良いです。1つのアカウントで複数サービスが稼働している場合は、コスト配分タグを活用します。S3ライフサイクルS3のストレージコストが課題の場合、S3ライフサイクルを利用して、一定期間経過したファイルをGlacierにアーカイブしたり、削除します。リザーブドインスタンス購入EC2には、ニーズに応じた購入オプションがあります。ベーシックな購入オプションはオンデマンドインスタンスです。オンデマンドインスタンスは、起動するEC2に対して秒単位で課金されます。TrustedAdvisorを参考にしたり、実運用の中で適切なタイプを設定できたら、リザーブドインスタンスを購入します。EC2料金について、1-3年の料金を一部または全額前払いすることで、大幅なコストダウンが可能です。ソフトウェアライセンス最適化CPUコア数に応じてソフトウェアライセンス費用が発生するプロダクトでは、CPU最適化オプションを利用することでソフトウェアライセンスのコストを下げられる可能性があります。Scalingを検討します。時間、アクセス量、リソース状況などに応じてEC2を増減できます。アプリケーションの改修やデプロイの考慮が必要な場合があるので、留意ください。スポットインスタンススポットインスタンスは、EC2の購入オプションの1つです。最大90%の割引を受けられます。スポットインスタンスは需要によって価格が変動し、入札価格がスポット料金を超える時にEC2を利用できます。入札価格がスポット料金を下回ると、EC2は停止あるいは終了します。マネージドサービスの導入AWSの利用をはじめたばかりの場合、EC2の台数が多くなる傾向にあります。EC2をマネージドサービスに置き換えることで、AWS利用費や運用費用を削減できます。リレーショナルデータベースであれば、RDSを検討します。バックアップ/リストアや、DBエンジンのアップデート、冗長化などを簡単に行えるため、運用費用や冗長化のためのソフトウェアライセンスのコストを抑えられます。英語に抵抗がある方は、弊社の記事を参考にしてください。モニタリングCloudWatchやサードパーティのツールを利用してモニタリングを行います。Summitでのセキュリティ・オートメーションのセッションが参考になります。おわりに運用担当者のためのAWS改善マップということで、フェーズ毎に対応すべきこと、対応すると良いことをご紹介しました。この記事が改善のきっかけになれば幸いです。〜ログ収集、監視、分析を触って体感しよう!〜」を開催しますお申し込み受付は終了しました。ありがとうございました。今後セミナーのお知らせを受け取りたい方は、こちらからご登録をお願いします。CAFEのサービスが「LINEアプリ」として利用できるようになりました。これまではLINEのトークから利用する形でしたが、LINEサービス内から利用できるようになりました。これまでより便利に、シームレスにご利用いただけます。Cafe300件のシェア(そこそこ話題の記事)インフラ未経験の私が内定から入社までに読んだ技術書11冊ブログ記事2020年01月16日Yui300インフラ未経験で入社した私がインフラを勉強するために読んだ技術書11冊を感想とともにまとめました。平野重利123Pythonで、標準入力を変換して標準出力に出すCLIプログラムのテンプレートをご紹介します。菊池修治47こんにちは、菊池です。勉強会#1に登壇しました。サーバのみならずネットワーク機器の仮想化も年々進んでいます。スペックに縛られないこととか、展開のしやすさとか初期考慮点が少なくなるのは嬉しいです。武田隆志1098このエントリは、2018年、2019年に公開したAWS全サービスまとめの2020年版です。これまではいくつかに分割して公開していましたが、1エントリにまとめてほしいという要望をもらっていたため、今年は1エントリに集約してみました。CAFEのサービスが「LINEアプリ」として利用できるようになりました。これまではLINEのトークから利用する形でしたが、LINEサービス内から利用できるようになりました。これまでより便利に、シームレスにご利用いただけます。Cafe300件のシェア(そこそこ話題の記事)インフラ未経験の私が内定から入社までに読んだ技術書11冊ブログ記事2020年01月16日Yui300インフラ未経験で入社した私がインフラを勉強するために読んだ技術書11冊を感想とともにまとめました。悠紀235ShifterはWordPress環境をサーバーレスで立ち上げ、静的なサイトを生成することができるサービスです。FAQサイトをサクッと作ってみました。Takumi227こんにちは。DA事業本部の春田です。クラスメソッド株式会社が運営するAWS・iOS・HTML5に関する技術情報サイトです。