臼田佳祐(128)18こんにちは、臼田です。Towerについて実際に触りながら学んでいきたいと思います。Towerって何?」「マルチアカウントでのAWS環境の管理手法に興味がある」「実際にやってみたい」という方に参考になるように書いていきます。ContentというコンテンツのLabsをベースに進めます。Labsがあり、Baseは下記の4種類あります。Towerの概要も(知っている知識ベースで)説明しようと思います。2018にてPreviewで発表されたマルチアカウントでのAWS環境の管理を簡単にできるようにするサービスです。2019年6月にGAになりました。#reinventAWS環境の利用が活発になってくると、多数のAWSアカウントが乱立し統制を利かせることが難しくなってきます。各セキュリティ機能の有効化。Configが有効になっているか。MFAが有効になっているか。不審なアクティビティがないかチェックするためにログを適切な場所に出しているか。AWSではこれまでマルチアカウントで統制を利かせるために様々なサービスを提供してきました。Organizations。Rulesとそれをマルチアカウントで集約するアグリゲータ。Zoneというアプローチがリリースされました。上述のようにマルチアカウントで統制を利かせるために使わなければいけないサービスが多数あり大変なので、概念や利用方法をまとめてCloudFormationテンプレートとして提供されました。Towerです(半分推測)。Towerを理解するには下記のような点で難しいです。Zone(ベストプラクティス)を理解していない(作ったあとの話ですが)自動的にいろいろ生成・設定されてどうなっているかよくわからないというわけで私自身もすべてを理解しているわけではありません。ラボを触りながら学習していきます。ちなみに、「(なぜか)全容の構成図がない」のでそれは今回作成しました。間違っているかもですがご容赦ください。はい、把握するのが大変ですねw各要素の説明はおいおいしていきます。Zoneとも随所違うので作成するのにだいぶ苦戦しましたw必要なものやってみる前にこの実習をしていく中で必要なものを説明します。Gatewayで)時間とともにコストを持っていかれますマルチアカウントのサービスのため結構一人の権限ではできないことが多いです。読むだけでもいろいろ理解できると思うので一緒に手を動かせない方も一読する価値はあると思います。Beyondをやっていきます。Towerのセットアップと、セットアップした環境のいくつかを確認します。セットアップには60-90分程度かかると言われています。実際に触ってみたいと考えているタイミングがあれば、まずは上述の必要なものを揃えてセットアップまでは行っておくことを推奨します。セットアップされるものは下記の通り。Towerのセットアップそれではマネジメントコンソールからセットアップしていきます。Towerへアクセスします。2019/09/29時点では東京リージョンでは提供されておらず、対応しているリージョンはバージニア、オハイオ、オレゴン、アイルランドの4つです。開いたら「ランディングゾーンの設定」を押します。ちなみに先述の通りOrganizationsが削除されていないと下記のようにエラーが出ます。新規アカウントを用意するか、Organizationsの削除を行いましょう。(勝手に削除すると管理者に怒られることがありますので絶対にやめましょう)気を取り直してセットアップです。最初に共有アカウント用のメールアドレスを入力していきます。ログアーカイブ用とセキュリティ監査用です。Configなどのログが集約されてS3に保存されます。Rulesなどの各種セキュリティアラートが飛んできたり、(おそらくインシデント対応等のための)各AWSアカウントへの特権を有しています。ここで入力したメールアドレスが各アカウントのルートアカウントのメールアドレスとなります。続いて利用規約に同意するチェックを入れて「ランディングゾーンの設定」を押します。するとセットアップが開始されます。あら簡単!!推定残り時間60分と表示されます。ちなみにラボには下記のような記載があります。15〜20分間、進行状況が99%のままになるのは正常です真顔での注意事項なのかウィットに富んだジョークなのかはわかりませんw今回は約50分でセットアップが完了しました。管理されているアカウントとガードレールの適用状況が表示されます。裏でOrganizationsへの所属やSSOのための確認メールが飛んでいるので承認してください。セットアップされた環境の確認このセットアップで下記図(再掲)のうち、右下のユーザアカウント以外が作成されました。Zoneの課題であった各種コンプライアンスの状況が確認できるようになっています。下の方にスクロールすると、非準拠リソースや組織・アカウント別でのコンプライアンス準拠状況の一覧がありました。下には適用されているガードレールが表示されました。現時点で存在するガードレールを一覧にしてみました。必須になっているものです。ログアーカイブへのログの設定やTrail・Configの設定などセットアップされたものが変更できないようにする用途が必須となっていて、セキュリティ強化のための設定は強く推奨や選択的になっています。検出SSOの確認メールで届いたSSOの情報を元にSSOでパスワード登録してログインします。SSOの画面が出てきます。各アカウントへここからSSOできるようになっています。consoleを選んでマネジメントコンソールにアクセスします。StackSetsの確認SSOの動作確認のついでに、セットアップで何が行われていたかの確認の一貫でCloudFormationのStackSetsを確認します。サービスからCloudFormationにアクセスし、スタックセットを選びます。一覧に各種実行内容が見れます。一覧にすると下記のようになります。最初からログアーカイブへのログの集約設定や各種セキュリティ設定などが入っています。Configルールを設定して、S3バケットがパブリックアクセスを許可しないことを確認しますAWSControlTowerGuardrailAWS-GR-S3-BUCKET-PUBLIC-READ-PROHIBITEDガードレールを適用するためのStackSetAWSControlTowerGuardrailAWS-GR-S3-BUCKET-PUBLIC-WRITE-PROHIBITEDガードレールを適用するためのStackSetAWSControlTowerLoggingResourcesログアーカイブアカウントに必要なリソースをセットアップするStackSetAWSControlTowerSecurityResources監査アカウントに必要なリソースをセットアップするStackSetAWSControlTowerBP-VPC-ACCOUNT-FACTORY-V1アカウントがプロビジョニングされると、このスタックが実行され、ベースラインに基づいてアカウント構成がセットアップされます以上でB1のラボは終了です。Towerの概要説明とB1ラボのセットアップを行いました。Towerがどのようなものかや、少しだけ良さが伝わったかと思います。各種セキュリティ設定やガードレールはセキュアにマルチアカウントを管理する上では非常に有用です。次回B2ラボではアカウントファクトリという機能を利用して実際に利用するAWSアカウント(ユーザアカウント)を作成していきます。1,285,714AWSとセキュリティを頑張る。リモート】クラスメソッドの会社説明会を開催しますクラスメソッドでは、AWS・AI・ビッグデータ・モバイルなどの技術職や営業のメンバーとして一緒にお仕事をする仲間を大募集しています。#cmdevio新型コロナウイルスの感染拡大を受け、本イベントを延期させていただくことになりました(開催時期未定)。お申し込みいただいた皆様には大変申し訳ございませんが、何卒ご理解いただけますようよろしくお願いいたします。AWSについてライトに色んな情報交換をしましょう。カフェ店長のオカノです。使いたいときの注意点を書きました。本が出ていたので読んでみたところよかったので紹介させていただきます。EC2)環境において、不要な踏み台サーバをなくすことができる便利なアップデートです。臼田佳祐295ワークフロー自動化OSSのn8nをAWS環境で建てて検証してみました。非常に期待できるサービスです。Fargateの勉強をしています。使ってみたい方は参考にしてください。洋介252SnowflakeがAWSの東京リージョン上で稼働するようになりました。データを日本に置けます。芳賀健232こんにちは!猫様の忠実なるしもべ、芳賀健です。Tokyoで開催されました。カフェ店長のオカノです。クラスメソッド株式会社が運営するAWS・iOS・HTML5に関する技術情報サイトです。