ブログより発信いたします。資料及びQA公開こんにちは、ソリューションアーキテクトの焼尾です。Other」の資料を公開いたしました。当日参加者の皆様から頂いたQAの回答と併せてご紹介致します。皆様のご参加をお待ちしております。Managerの管理コンソールより未適用パッチの確認ができます。2017前後にて発表されたセキュリティ関連情報を振り返るセミナーが開催されました。2017とは、2017年11月27日から12月1日までラスベガスで開催されたAWS最大のカンファレンスです。エンドユーザー様、パートナー様を中心に、世界中から40000人以上の来場者を集めました。re:Inventは基調講演やブレイクアウトセッション、ブートキャンプ、パートナー様ソリューション展示、参加者同士のネットワーキングなどからなります。例年同様、一人では回りきれないほど大量で多種多様なイベントが行われました。2017での情報を効率的に収集いただくと同時に、来年以降の日本からのre:Invent参加者を増やし、re:Inventセッション登壇者を輩出する目的で開催されました。Vegasに参加した方は、本セミナー会場にいる130名強のうち10%前後でした(re:Invent3回以上経験者はわずか2名!)。ほとんどの方にとってre:Invent情報は新鮮だったのではないかと思われます。2017の基調講演におけるAWSセキュリティに関するキーメッセージの紹介です。Center(SOC)は持っていない」という台詞に驚く方もいました。世の中の多くの人が想像するような所謂SOCは無く、ツール化と自動化を進めた結果として、今のAWSセキュリティの姿があると語っています。Vogelsも、「イノベーションのスピードを支えるにはセキュリティの自動化が最良のやり方だ」と語ったように、セキュリティの自動化は、AWSセキュリティの基本的なメッセージとなっています。そのためにいくつかのセキュリティ新サービスが発表されましたので、ここからは個別セッションに入っていきましょう。IDとアクセス管理に関するセッションです。(SSO)についてです。re:Inventで発表されなかったサービスのため、このセミナーでその詳細を知った方がほとんどだったと思います。AWSソリューションアーキテクト辻より、サービスの内容とお勧めの使い方が説明されました。既存の認証基盤を使って、AWS管理コンソールやSAML2.0対応アプリケーションにシングルサインオンできるのは、ユーザー利便性が向上しますが、それだけではありません。複数AWSアカウントを管理しなければならない管理者にとって、誰がどこにアクセスしているかの認証ログをCloudTrailで一元的に取得できるのは管理性向上にも寄与します。一ユーザーに複数のAWSアカウントをマップすることで、開発アカウントでログインして開発アカウント権限内で必要な作業をした後に、ログアウトして、次に本番アカウントでログインすることもできる、といった使い方例も紹介されました。オペレーションミス防止や統制要件を満たすためにも使える便利なサービスとなります。登壇資料はこちらです。続いてのセッションは株式会社ドワンゴ鈴木様による講演です。その風貌からは想像できないほど(!)、穏やかで紳士的な語り口調の鈴木様から、re:Invent現場で感じた熱気とAWSセキュリティに関する期待について述べていただきました。ドワンゴ様では複数アカウント管理に課題感があり、少数精鋭のセキュリティチームで効率的にセキュリティ統制をとっていく方法を模索されています。SSOでの更なる効率化を検討されるようです。Inspectorなどの連携ソリューションについても期待されていました。登壇資料はこちらです。知明ここからは発見的統制に関連するセッションが始まります。GuardDutyです。仕方、デモを含めた包括的な説明がなされました。GuardDutyの高機能性に対して、30日間の無料使用期間を通じてコスト対効果を判断していただきたいとのことでした。Logs分析処理量による従量課金のため、まずは自社環境で使ってみてコスト感と機能性を把握するのが最適なやり方です。GuardDutyの使い方を非常に分かりやすく理解できたのではないかと思います。登壇資料はこちらです。株式会社リクルートテクノロジーズでSOCに所属している安東様からは、re:Inventで体験したセキュリティイベントの共有と、SOCビジネスに活用できるAWSセキュリティサービスについてご登壇いただきました。Rulesなどに高い関心を示されていました。WAFが外部ナレッジを集めていくプラットフォームになるのではないか、というコメントは大変興味深いです。Schmidtの基調講演や、その他のセッションも聴講いただきました。セキュリティが自動化された世界では、セキュリティ担当者の求められるスキルやスタンスが変わってくるという感想をもったとのことです。AWSのサービス開発責任者ともお話しされ、サービスの詳細やロードマップだけでなく、開発思想を感じ取れることがre:Invent参加の醍醐味とおっしゃっていただきました。登壇資料はこちらです。様AWSを利用する企業は世界中にいらっしゃいますが、その中でも特にT社が好きな三井物産セキュアディレクション(MBSD)佐藤様のご登壇です。Ruleの話をしていただきました。Ruleの話をしていただきました。トレンドマイクロ様とAWSのパートナーシップの歴史は長いですし、両社がそれぞれ技術革新を続けることで、その連携ソリューションも大きく進化を遂げてきていることが感じられました。登壇資料はこちらです。Rulesの実践編です。Rulesがお手軽に始められることを示しました。登壇資料はこちらです(下画像をクリック)。Rulesは全てマネージドサービスと言えます。これからセキュリティの自動化が推進されて、イノベーションを加速させる存在となる上で、マネージドサービスの利用は欠かせません。AWS利用者にとっても、サービスレベルの向上や業務効率化のために是非AWSセキュリティのマネージドサービスをご利用いただければと思います。2018に日本からの参加者をもっと増やすこと、そして日本のAWSユーザー様からre:Invent登壇者を輩出することを誓って、本セミナーは幕を下ろしました。こちらは登壇者の集合写真です。」の資料およびQA公開こんにちは、プロフェッショナルサービスの宮本です。PostgreSQL」の資料を公開いたしました。当日参加者の皆様から頂いたQAの回答と併せてご紹介致します。皆様のご参加をお待ちしております。PostgreSQLのスナップショットから移行可能とのことですが、どのバージョンからでも移行可能でしょうか。以降のバージョンからの移行がサポートされております。下記のドキュメントも合わせてご確認ください。サポートされる拡張モジュールによって追加されているデータ型をご利用いただけます。リードレプリカと異なる点は何でしょうか。スライドをご確認いただければと思います。フェイルオーバーにおけるプロセスが記載されております。30秒以内にフェイルオーバーが完了します。伝播状況などによって異なる場合もございますので、実際に検証いただければと思います。以下のドキュメントにフェイルオーバーをより高速に行うためのプラクティスが記載されておりますので、合わせてご確認ください。ストレージ料金を削減する目的で、容量を削除することはできますか?(容量が減った場合はどうなりますか?)現在のところ、一度利用したストレージ容量を削減することはできません。データ削除後の空き領域については、再利用されます。課金はコピーも含めた容量に基づくものでしょうか?(例えば10GBのデータの場合、60GB分が課金される?)いえ、あくまでも使用量のみに基づきます。そのため、挙げていただいた例の場合は、10GBがストレージ料金として課金されます。EBS)と異なり、上記のような概念はございません。ついてのご質問という前提で回答いたします。Compatible]をご選択いただくことで試算できます。同様に考えていただければと思います。ご利用を検討いただくと良いかと存じます。関連のパラメータをご設定ください。監視が可能ですので、こちらも合わせてご確認ください。ロックをという排他的ロックをとります。サポートしておりますので、こちらの利用もご検討ください。移行時にRDS暗号化している場合の対応はどうすればいいでしょうか?)例えば、以下のような方策がとれるかと存じます。オンプレのオラクルからAuroraPostgressに移行する際の留意点はありますか?すべての観点における留意点を網羅しているとは限りませんが、下記の資料が参考になるかと存じます。インポートいただくことは可能です。レプリカを複数作成いただき、そのうちの1台を集計など重たいクエリを行う専用のインスタンスとしていただくことでワークアラウンドになるかと存じます。それぞれのレプリカインスタンスに振り分けるなどの工夫が必要となります。MySQL版と比べたときにコスト面などでのメリットはあるのでしょうか。同一インスタンスタイプの料金およびストレージ料金は同じです。Trainerの二條です。「AWSサービスを利用したアプリケーション開発を始めよう」の資料を公開いたしました。当日参加者の皆様から頂いたQAの回答と併せてご紹介致します。皆様のご参加をお待ちしております。低レベルapiと高レベルapiの使い分けを詳しく知りたいです。低レベル(Client)APIはサービスの提供するRPC形式のAPIと1対1の関係となっており、サービスのすべての機能が利用可能です。ネットワーク間の呼び出しが明示的なのを好む方にも向いています。一方で、高レベル(Resource)APIは、より直感的なオブジェクト指向的な抽象化によって、よりシンプルなコーディングが可能になっています。これからAWSのサービスを利用した開発を始める場合は、利用可能であれば高レベルAPIから使い始めることをお勧めします。(上の質問のつづきで)動作の違いはありますでしょうか。高レベルAPIで実現できることは、すべて低レベルAPIでも実現可能です。高レベルAPIも内部ではサービスのAPIを呼び出しているので、動作が異なるということはありません。cloud9のEC2のベースOSはAmazonLinuxでしょうか。詳細は各SDKのLICENSEドキュメントをご参照ください。2.0となっています。yumなどで、追加のパッケージをインストールすることは可能でしょうか。Gatewayからの呼び出しによるテストも可能なのでしょうか。イベントトリガーによるテストが可能であるか教えていただきたいです。Cloud9でデバッグ、テストできるのはローカル環境(Cloud9環境)で実行している場合のみとなります。Cloud9でテストすることはできません。cloud9はlightsailは対応していますでしょうか。CLoud9環境を構築可能です。はい、terminalから実行可能です。CodeDeployでEC2インスタンスにデプロイすることができます。この場合、CI/CD環境をすべてAWSで実現可能です。Cloud9の間の通信は、HTTPSのみを利用します。WAF」の資料およびQA公開こんにちは、プロフェッショナルサービスの宮本です。WAF」の資料を公開いたしました。当日参加者の皆様から頂いたQAの回答と併せてご紹介致します。皆様のご参加をお待ちしております。セキュリティベンダー(Impervaや、トレンドマイクロなど)のセキュリティルールなどを、WAFにインポートするような仕組み(連携)はないでしょうか?もしくは、今後の目処があれば教えていただきたい。WAFのマネージドルールが発表されました。Marketplaceでマネージドのルール提供します。ページをご参照ください。block時の画面とか動作はカスタマイズできるのでしょうか?はい。Forbiddenをレスポンスします。CloudFrontの「エラーレスポンスのカスタマイズ」より、Block時の画面のカスタマイズが可能です。WAFの対応が可能となります。設置する際は必要性を検討し、設定してください。Gatewayに直接リクエストを送る事も可能です。来たリクエストについてはRejectする実装等の対策を推奨いたします。ELBでもAWSのELBでもWAFは使えますか?現在(2017/12時点)CloudFrontとALBが対応しております。CLB/NLBは対応しておりません。10テンプレートを展開すると、1つのWebACLに10個のルールが作成されます。Q&Aの前に参考サイトがあったかと思うのですが、教えていただけることは可能でしょうか。ルールセットのYMLはどうやって入手して、S3にアップロードしたら良のでしょうか?https://aws.amazon.com/jp/about-aws/whats-new/2017/07/use-aws-waf-to-mitigate-owasps-top-10-web-application-vulnerabilities/上記サイトをご参照ください。owasp_10_base.ymlのリンクが公開されております。展開する際には、CloudFormationでスタックを作成時のテンプレートURLとして、ymlファイルのURLを指定してください。Serviceこんにちは、パートナーソリューションアーキテクト(PSA)の相澤です。資料を公開いたしました。当日参加者の皆様から頂いたQAの回答と併せてご紹介致します。皆様のご参加をお待ちしております。Cloudを展開していますが、AWSが提供しているからこそ、優位点などありましたら、ご教示頂けると幸いです。Cloudを試用した際に、AWS上にElastic社が構築したサービスでしたので、個人的には違いが感じられなかったです。Changeが多く見られたため、今まで使えたものが使えなくなるなど、気になります。kuromojiの辞書の更新はできるのでしょうか。Glueこんにちは、パートナーソリューションアーキテクト(PSA)の相澤です。資料を公開いたしました。当日参加者の皆様から頂いたQAの回答と併せてご紹介致します。皆様のご参加をお待ちしております。GlueにてETLのリプレイスを検討しております。現時点ではS3からのトリガーで直接Glueのジョブをトリガーする方法は用意されていないため、S3のトリガーでLambda等に連係していただき、そこからオンデマンドのジョブを呼び出していただくのが良いと考えられます。Glueのジョブ内でクローラーが確認していない、データソースやデータターゲット(Sink)とに対して処理gあ可能です。上記はどちらでも可能です。クロールさせてから、その結果をもとに読み取ることも可能ですし、もしくは引数を元に直截S3上のオブジェクトを読み取ることも可能です。カラムがなくなった事をトリガーに自動的に別のRDSの表定義を変更するという機能はありません。一般的には異機種RDBでDDLの変更を自動反映させる作業は単純ではないため、RDBネイティブのレプリケーションツールの利用をご検討ください。現時点ではスキーマの変更時に自動でSNS通知を実行する機能はありません。CrawlerのJDBC接続はVPC内通信ではなくインターネット経由のアクセスになりますか?A6.VPC内にENIが作成され、VPC内(プライベートIPアドレス)での通信になります。DynamicFrameとDynamicFrameCollectionの違いはなんですか?A7.DynamicFrameを集める(一塊として扱う)のがDynamicFrameCollectionクラスです。Pythonのライブラリのみサポートしています。Pythonではないため)、利用できません。Glueとの棲み分けについてお聞きしたいです。Glueは、Pythonコードでジョブを作成しますが、一般的なETLソリューションではGUIでコンポーネントをDrag&Dropすることでジョブを作成する事ができるため、これが最も大きな違いになります。ユーザにとってどちらの方法が生産性が高いかという点でご選択ください。Glueはサーバレスであり、インフラの管理負担を大幅に削減できる事も既存ETL製品との違いです。Glueを選択していただく上での提案ポイントがあれば教えていただきたいです。Glueのメリットは、「ジョブ(変換)コードをPythonで書け、それをサーバレスのインフラで実行できる」事にあります。ジョブをPython(PySpark)で書けることのメリットは、オープンな言語&フレームワークなため、既存の知識が流用しやすく、プレインなコードなのでGit等のツールでの差分管理が可能です。サーバレスなため、日々の運用負担が低くETL負荷が増加した際にもサーバ増強等の作業をする必用がないという点もメリットです。Glueのジョブであるサーバーへアクセスさせたいのですが、IPアドレスを固定することはできますか?A11.ジョブの実行サーバはジョブ実行毎に作成されるため、IPアドレスを固定する事はできません。ETLコードにて、ターゲットのRedshiftのテーブル定義に合わせてDynamicFrameの列順変更や列追加を行う必要がある場合、どのTransformクラスを利用するべきでしょうか?A12.列の順序を変更する場合は、ApplyMappingクラスでソースとターゲット(Sink)のマッピングを調整することが可能です。実行しているジョブやクローラの料金モニタリングはどこで行うべきですか?A13.料金のモニタリングは、他のサービスと同様に、Billingの機能(Billingにアラートを付ける等)で行なうことが可能です。Glueとして特に文字コードの規定があるわけではありませんが、PySparkをベースにしているため、ジョブ処理時には文字列がUTF-8である事を想定しています。JDBCドライバ経由でRDBを読み取った場合はJDBCドライバ内で文字コードがUTF-8に変更されるものもあります。UTF-8以外のファイル(S3上)は読み取る際に文字コードをUTF-8変換する必用があります。DataFrameでもDynamicFrameどちらでも行える処理はどちらを利用するほうがパフォーマンスメリットがありますか?A15.パフォーマンス上の差異については現時点でのデータはありませんが、変換のオーバヘッドは低いため、必用な処理があるほうに変換をして御利用いただくのが良いと考えられます。関連サービスこんにちは、パートナーソリューションアーキテクト(PSA)の相澤です。関連サービス」の資料を公開いたしました。当日参加者の皆様から頂いたQAの回答と併せてご紹介致します。皆様のご参加をお待ちしております。いいえ、ALB,NLBで当てはまらないユースケースもありますので、CLBは非推奨とはなりません。多くのケースではALB,NLBを使ったほうが機能面やコスト、効率が良いため、ALB,NLBを優先的にご案内しています。いいえ、publicで割り当てられるDNS名は引き継げません、しかし、Route53でエイリアスレコードを定義すればRoute53側で引き継ぐことは可能です。長時間セッションとはどの程度の長さなのでしょうか。一般的にTCPセッションでは数十秒で終了するものがほとんどですので、それ以上のものを長時間セッションとしています。Packetを送るなどの対応が必要です。自動割り当てされたIPアドレスはElasticIPの扱いでしょうか?(PublicIP?)。IPアドレス扱いになります。NLBを削除した場合には消去されます。IPをご検討ください。Groupに対して開ける必要があります。いいえ、IPターゲットにすることで指定可能です。AWSWAFのWebaclにNLBは適用可能でしょうか?A7.現時点ではALBのみの対応となっております。アプリケーションの作り方によります。getaddrinfo()で同一AZのIPアドレスを選択するようにすればStickさせることができます。NLBの動的ポートマッピング機能はALBでも同様の機能があると理解しています。ALBとNLBを使い分けるポイントがあれば教えてください。WAFとの連携や、細かく文字列やブラウザなどで振り分けをする場合にはALB,単純に高速にL4動作させる場合にはNLBをご検討ください。はい、IP指定でポートを開放する方法で対応いたします。Passiveモードかつ1024番ポート以降を開ければ理論的には可能ですが、現実的ではありません。インターナルNLBのときにVPCピア接続先からもみたいケースがあるのですが、サポートされる予定はなさそうでしょうか。サポートいたしました。いいえ、他のELB同様、設定できません。その場合はマーケットプレイスから上記機能をサポートしたロードバランサーを選択してご利用ください。バックエンドのSecurityGroupのインバウンドには、クライアント側だけでなく、NLBのEIPも許可する必要はありますか。いいえ、クライアント側のIPのみ許可が必要です。暖機なしにスパイクに対応可能、というのは、どういう仕組み(制御)なのでしょうか。CLB,ALBでは暖機必要だったのが、どうしてNBLだとできるのだろう、という疑問です。OKでしたら概要を教えていただきたいです。Re:Inventで発表がありましたので、こちらをご参照ください。DNS名はALB,NLBのものに変更されます。そのままCLBは残りますので、Route53でAレコードをALB,NLBのもの変更し、確認が終わったらCLBを削除します。NLBにはセキュリティグループがないので、送信側のSecurityGroupは設定できません。ALBではWebSocket,HTTP/2,パスベースのルーティングなど豊富な機能があります。NLBでは高速な処理と固定IPの設定ができる点が移行するメリットです。Protocolに対応しておりますので対応しているアプリケーションであれば区別可能です。ElasticBeanstalkでもCLB→NLB移行ツールは用意されていますか?A21.移行ツールはありませんが、NLBは利用できます。はい、China(Beijing)以外の商用リージョンの全てで利用可能です。移行ウィザードでは並行利用をしています。CLBで対応していてNLBで対応していないものは設定から落ちることがあります。ウィザードでも警告されますし並行で運用できますので、そちらで確認することができます。Hyperplaneテクノロジーを使用しています。マルチAZは推奨となります。マルチリージョンを利用して冗長性を担保されているお客様向けに選択肢をご用意いたしました。Hyperplaneテクノロジーを使っているためです。資料及びQ&Aこんにちは、ソリューションアーキテクトの岡本です。始めるモバイルアプリのグロースハック」の資料を公開いたしました。当日参加者の皆様から頂いたQAの回答と併せてご紹介致します。皆様のご参加をお待ちしております。既存のスマホアプリへのPinpointの導入を検討中です。Hubを使っていない、既存アプリへPinpoint機能を統合して行くにはどのような手順が必要でしょうか?また気をつけておくべきポイントなどあれば教えてください。Identitiesを使っています。プロジェクトを作成するためのツールとしてお使いください。コードを実装していけば問題なくご利用いただけます。継続的に使っていく必要はありません。"mobiletargeting:UpdateEndpoint")を付与しなければならないことです。セグメント設定の条件定義は、標準属性を付けるのは必須でしょうか。いいえ、必須ではありません。標準属性、カスタム属性、ユーザ属性から必要なものだけを選び、組み合わせてお使いいただけます。静的なセグメントに必要な情報は、動的なセグメントからエクスポートできますでしょうか。いいえ、現時点ではセグメント情報のエクスポート機能はありません。管理画面,アナリティクス画面は日本語切り替え機能のようなものは存在するのでしょうか。現時点では、Pinpointのマネジメントコンソールは日本語に対応していません。対応を進めていきます。Push配信速度調整がどういったメリットがあるのか教えてください。デフォルトで100万通/分の高速配信が可能になっていますが、通知を受け取った大量のエンドユーザが一斉にアプリを起動するとサービスのバックエンドサーバに突発的な負荷がかかりがちです。ユースケースやビジネス的な要件上、そこまでの速報性が必要ない場合は、配信速度を敢えて抑えてエンドユーザのアプリ起動タイミングを分散させることで、バックエンドへの負荷を簡単に下げることができます。エクスポートが可能か、という質問と解釈して回答いたします。アドレスを制限することは現実的ではありません。設定していただく必要があります。静的セグメントを使って、毎回異なるユーザに通知をおくることもできると考えてよいですか?一度作った静的セグメントはあくまでもインポートされたときのリストを保持しているため、そのまま再利用しても対象のユーザは変わりません。上のファイルを更新した後にセグメントを更新するか、新しく静的セグメントを作り直す必要があります。使って操作していただけます。Seminarをよろしくお願いいたします。Facebookこのブログの最新情報はTwitter、Facebookでもお知らせしています。お気軽にフォローください。