Group設定を検討したAWS特集Beanstalk2016年07月07日にしざわ(129)8この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。Groupの管理をどのようにすべきか検討したので、まとめておこうと思います。今回検討したEB環境は、デフォルトVPCではなく、カスタムVPC内に構築したアプリケーションを対象とします。Groupまずは、suzuki.ryoさんの記事をご欄ください。作成されるELBをSourceSecurityGroupとするHTTP(80/tcp)を許可Environmentにて、KeyPair指定をすると、0.0.0.0/0からSSH(22/tcp)を許可が設定されます。Groupebextensionsからこのデフォルトで設定される値を変更することが可能です。option_settings:の2箇所が設定に影響を及ぼします。実体としては、EBから呼ばれるCloudFormationにより適用される形となっています。AWS::EC2::SecurityGroupとして動作します。yaml形式となりますが、CloudFormationのイメージで自由に追記が可能です。Outbound通信の制御(SecurityGroupEgress)も追加可能でした。今回検証した結果では、AWSEBLoadBalancerSecurityGroupからのHTTP(80/tcp)のInbound許可は、明示的に記載せずともデフォルトで許可されました。}option_settings:こちらから、デフォルトで許可される「0.0.0.0/0からSSH(22/tcp)」をオーバーライドして制限することができます。"AWS::EC2::SecurityGroupIngress"として1行追加される形で記載されていました。書式が他に無い形ですし、リストで複数渡すこともできないようです。SSHを開放し過ぎるのも不味いので、ちょっと強引に実装されているような印象です。柔軟な変更はできず、書式に従って1行のみ書ける特別なものと考えると良さそうです。前述の2種類の設定を組み合わせた形で反映された結果のサンプルが以下となります。これまでの説明を踏まえてご確認ください。Groupを指定することが可能です(デフォルトVPC利用の場合は選択できません)。Groupを起動されるアプリケーションサーバ(EC2)に割り当てる形となります。Groupはデフォルトの拒否からホワイトリストとして動作するものという点を考慮した上で、整理してみます。ebextensionsは基本的にアプリケーションの一部としてデプロイする形での運用となりますので、こちらで設定するSecurityGroupでは、アプリケーションに依存している必要最低限の要件のみを記載するのが良さそうです。Groupを追加指定しておいて、今後追加・更新される可能性のある設定(運用要件での通信等)はこちらで管理する方が良いのではと思いました。Versionに全部入れて管理する)の方が良いケースもあると思います。まとめ細かい知識不足だったので、整理して動作確認をするのに少し時間がかかりました。Beanstalkですが、要件を実現する為に利用できる方法がいくつかあるので、設計・検討が難しく感じました。Groupについては整理できたのでちょっとすっきりです。異なる要件下では違った結論になることもあると思いますので、また改めて考えてみようと思います。どこかの誰かのお役に立てば嬉しいです。リモート】クラスメソッドの会社説明会を開催しますクラスメソッドでは、AWS・AI・ビッグデータ・モバイルなどの技術職や営業のメンバーとして一緒にお仕事をする仲間を大募集しています。#cmdevio新型コロナウイルスの感染拡大を受け、本イベントを延期させていただくことになりました(開催時期未定)。お申し込みいただいた皆様には大変申し訳ございませんが、何卒ご理解いただけますようよろしくお願いいたします。AWSについてライトに色んな情報交換をしましょう。カフェ店長のオカノです。今日はオフィスに用があるので、通勤ラッシュを避けて出社しました。この子は新メンバーのさめくんです。在宅勤務が推奨されているのでオフィスが閑散としており、すこしさみしそうです。使いたいときの注意点を書きました。本が出ていたので読んでみたところよかったので紹介させていただきます。