S U M M I T - AWS · これからAWS を本格的に使う方、最近AWS...

S U M M I TOSAKA

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.S U M M I T

AWSを使いこなすために- セキュリティとベストプラクティスと新しいサービス

Takuya OketaniSolutions ArchitectAmazon Web Services Japan K.K. / Solutions Architecture

B - 0 3


桶谷拓也 Takuya Oketani

ソリューションアーキテクト, 大阪

アマゾンウェブサービスジャパン株式会社

❤ Amazon SQS, AWS ML Platform

自己紹介


本セッションの対象者

これから AWS を本格的に使う方、最近 AWS を使い始めた方向け

• AWSの基礎を知っている方

• Amazon VPC や Amazon EC2を構築したことがある方

• 「AWS 再入門 – 基本的なサービスをおさえる」を受講した方


本セッションの目的

これから AWS を本格的に使う方、最近 AWS を使い始めた方が…

• セキュリティやベストプラクティスを理解し、AWS を正しく活用する方法を知る

• オンプレミスの考え方のまま AWS を利用するのではなく、AWS ならではの考え方を取り入れる

• 新しいサービスや新しいアーキテクチャを活用できるようになる


AWS を使い始めて最初に作る構成

VPC

Subnet

InstanceUser

AWS Management ConsoleAWS Cloud

Internet


VPC


Public Subnet

Internet Internet Gateway

InstanceUser

AWS Management ConsoleAWS Cloud


AWS Cloud


VPC

Public Subnet

Internet

Private Subnet

Internet Gateway

Web / App Databaseon Instance

User

AWS Management Console


AWS Cloud


VPC

Public Subnet

Internet

Private Subnet

Internet Gateway

Web / AppUser

AWS Management Console

Amazon RDS



VPC

Public Subnet Private Subnet

Internet Gateway

Web / App Database

User

Web

Web / App

App

Web / App

User

User

User

Database

Database

Amazon RDS

Amazon RDS



User

User

User

User

VPCPublic Subnet

Private Subnet

Internet Gateway

Web / App

VPCPublic Subnet

Private Subnet

Internet Gateway

Web / AppAmazon RDS

VPCPublic Subnet

Private Subnet

Internet Gateway

Web / AppVPCPublic Subnet

Private Subnet

Internet Gateway

Web / AppAmazon RDS

Database

Database


発生する課題

簡単に作れたが、このまま本番環境として利用することに問題はないのか

• セキュリティが確保されているか

• 運用はどうしたらいいのか

• システムの信頼性や可用性は確保されているのか

• 必要なパフォーマンスを出すことができるのか

• 作った構成のコスト (AWS 利用料)はどれくらいなのか


発生する課題






• 作った構成のコスト (AWS 利用料)はどれくらいなのか

S U M M I T © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.


AWS のセキュリティ方針

セキュリティは AWS における最優先事項

セキュリティに対する継続的な投資• セキュリティ専門部隊の設置

セキュリティ関連ホワイトペーパーの公開• AWS セキュリティセンター

• http://aws.amazon.com/jp/security/

複数の第三者認証を取得• AWS コンプライアンス

• http://aws.amazon.com/jp/compliance/


データセンターセキュリティ

Amazon は数年間にわたり、大規模なデータセンターを構築

重要な特性:

• 境界防御レイヤー• アクセスの緻密な検査、立ち入りの規制と監視、従業員も検査の対象、グローバルなセキュ

リティ監視

• データレイヤー• 物理的および技術的な侵入の阻止、サーバとメディアの厳重な監視サードパーティの監査者

によるプロシージャとシステムの検証

AWS のデータセンター https://aws.amazon.com/jp/compliance/data-center/data-centers/

https://aws.amazon.com/jp/compliance/data-center/data-centers/


データセキュリティ

• データの所有権と管理権はお客様に

• データとサーバーを配置する物理的なリージョンはお客様が指定

• AWSのほぼすべてのサービスについて、お客様が独自の暗号化メカニズムを使用することが可能

AWS データプライバシーのよくある質問 https://aws.amazon.com/jp/compliance/data-privacy-faq/

https://aws.amazon.com/jp/compliance/data-privacy-faq/


セキュリティはお客様との責任共有モデル

AWS

クラウドのセキュリティに対する責任

SECURITY ‘OF’THE CLOUD

お客様

クラウド内のセキュリティに対する責任

SECURITY ‘IN’THE CLOUD

お客様のデータ

プラットフォーム、アプリケーション、IDとアクセス管理

オペレーティングシステム、ネットワークとファイアウォール構成

クライアント側データ暗号化データ整合性認証

サーバー側暗号化(ファイルシステムやデータ)

ネットワークトラフィック保護(暗号化、整合性、アイデンティ

ティ)

ハードウェア/AWSグローバルインフラストラクチャー

ソフトウェア

リージョンアベイラビリティ

ゾーンエッジロケーション

コンピュートストレージデータベースネットワーキング

https://aws.amazon.com/jp/compliance/shared-responsibility-model/


幅広いセキュリティ関連のサービス

• AWS Identity & Access Management (IAM)

• AWS Single Sign-On (SSO)

• AWS Directory Service

• Amazon Cloud Directory

• AWS Secrets Manager

• Amazon Cognito

• AWS Organizations

• AWS Resource Access Manager (RAM)

• AWS Security Hub

• Amazon GuardDuty

• AWS CloudTrail

• AWS Config

• AmazonCloudWatch

• VPC Flow Logs

• AWS Systems Manager

• AWS Shield

• AWS Web Application Firewall (AWS WAF)

• Amazon Inspector

• Amazon Virtual Private Cloud (VPC)

• AWS Key Management Service (KMS)

• AWS CloudHSM

• Amazon Macie

• AWS Certificate Manager

• Server-Side Encryption

• AWS Config Rules

• AWS Lambda

アイデンティティ発見的コントロール

基盤セキュリティ

インシデントレスポンス

データ保護








• Amazon Cognito





• AWS CloudTrail

• AWS Config


• VPC Flow Logs


• AWS Shield





• AWS CloudHSM

• Amazon Macie




• AWS Lambda




データ保護



AWS Identity & Access Management(IAM)

AWS サービスおよびリソースへのアクセスを安全に管理

• 認証と認可

• サービスへのアクセス制御• コンピューティング、ストレージ、データベース...etc

• リソースへのアクセス制御• インスタンス、ファイル...etc

• ユーザーと権限の管理• ユーザーやグループへのアクセス制御ポリシーの適用

• ロールを用いた権限の管理

• 社内や外部のディレクトリとの統合（ID フェデレーション）


AWS Identity & Access Management(IAM)

AWS サービスおよびリソースへのアクセスを安全に管理

• 認証と認可

• サービスへのアクセス制御• コンピューティング、ストレージ、データベース...etc

• リソースへのアクセス制御• インスタンス、ファイル...etc

• ユーザーと権限の管理• ユーザーやグループへのアクセス制御ポリシーの適用

• ロールを用いた権限の管理

• 社内や外部のディレクトリとの統合（ID フェデレーション）


AWS Identity & Access Management(IAM)Identities• 主となる役割のID

• クラウドのIDを管理する、もしくは独自のIDプロバイダーを介して連携する

API Actions• 何を行い、どのように応答するのか

Resources• IAM actions が適用される AWS のリソース

• 許可されたアクションをさらに定義するリソースポリシーに対応するリソースタイプ

Conditions

• アクションを許可するために、identities、actions、resourcesおよびその他のパラメータを定義する


IAM によるアクセス制御イメージ

Users

管理者

Users

開発担当

Users

運用担当

AWS Cloud

IAM

Amazon EC2

Amazon S3

全ての操

作が可能

サービスへのア

クセスに対して

権限をチェック

S3の操作

が可能

S3の参照

が可能


データへの最小のアクセス権限

セキュリティベストプラクティス最小限の権限から始める

必要に応じて追加の権限を付与する

必要な権限のみを定義する

特定のサービスがサポートするアクション

特定のタスクに必要な API アクション

これらの操作を実行するために必要な権限








• Amazon Cognito





• AWS CloudTrail

• AWS Config


• VPC Flow Logs


• AWS Shield





• AWS CloudHSM

• Amazon Macie




• AWS Lambda




データ保護


セキュリティはお客様との責任共有モデル

AWS

クラウドのセキュリティに対する責任

SECURITY ‘OF’THE CLOUD

お客様

クラウド内のセキュリティに対する責任

SECURITY ‘IN’THE CLOUD

お客様のデータ

プラットフォーム、アプリケーション、IDとアクセス管理

オペレーティングシステム、ネットワークとファイアウォール構成

クライアント側データ暗号化データ整合性認証

サーバー側暗号化(ファイルシステムやデータ)

ネットワークトラフィック保護(暗号化、整合性、アイデンティ

ティ)

ハードウェア/AWSグローバルインフラストラクチャー

ソフトウェア

リージョンアベイラビリティ

ゾーンエッジロケーション

コンピュートストレージデータベースネットワーキング

https://aws.amazon.com/jp/compliance/shared-responsibility-model/


発生する課題






• 作った構成のコスト( AWS 利用料)はどれくらいなのか



AWS Well-Architected Framework(W-A)とは?

・AWSのソリューションアーキテクト(SA)とお客様が

長年にわたり数多くの経験から作り上げたもの

システム設計・運用の”大局的な”考え方とベストプラクティス集

Your teamTECHNICAL &

BUSINESS LEADS

Solutions Architect


AWS Well-Architected Framework(W-A)とは?

・AWSのソリューションアーキテクト(SA)とお客様が

長年にわたり数多くの経験から作り上げたもの

・AWSとお客様と共に、

W-Aも常に進化し続ける

システム設計・運用の”大局的な”考え方とベストプラクティス集

Your teamTECHNICAL &

BUSINESS LEADS

Solutions Architect


AWS Well-Architected Framework の構成要素

① ベストプラクティスが記載されたWell-Architectedホワイトペーパー

② レビューをお手伝いして、設計・構築・運用を支援する SA もしくは W-A パートナー

③ベストプラクティスとのギャップをセルフチェック出来る AWS Well-Architected Tool

②AWSのSAや

W-Aパートナー③ W-A

Tool

コストの

最適化セキュリティ信頼性

パフォーマンス

効率

運用の

優秀性

①AWS Well-ArchitectedFrameworkホワイトペーパー


AWS Well-Architected Frameworkホワイトペーパー

設計原則と(質問と回答形式)のベストプラクティス集

あくまでも設計”原則“なので、実装の詳細やアーキテクチャパターンは扱っていない

コストの



効率

運用の

優秀性


AWS Well-Architected Frameworkホワイトペーパー

設計原則と(質問と回答形式)のベストプラクティス集

実際の開発者だけでなく、プロダクトマネージャーや

ユーザ企業もおさえておきたい内容

コストの



効率

運用の

優秀性


設計原則(Design Principles)

クラウドでの一般設計原則

必要なキャパシティを勘に頼らない

本番規模でのシステムテストを行う

アーキテクチャ試行の回数を増やすために自動化を取り入れる

発展的なアーキテクチャを受け入れる

データ計測に基づいてアーキテクチャを決定する

本番で想定されるトラブルをあらかじめテストし、対策する


質問と回答形式でのベストプラクティス

「ベストプラクティスの質問」を活用→”W-Aレビュー”

[OPS4]デプロイのリスクをどのように軽減していますか？

[SEC3] AWSサービスへのプログラムによるアクセスをどのように制御していますか？

[REL7] システムがコンポーネントのエラーに耐えるようにどのように設計していますか？

[PER2]コンピューティングソリューションをどのように選択していますか？

[COST6] AWS使用量とコストをどのようにモニタリングしていますか？

合計46個のベストプラクティスの質問に答えて、設計中/運用中システムとの差分(改善点・リスク)を把握する

…










…

全項目ベストプラクティスに

則っていないとダメなのか？










…

全項目ベストプラクティスに

則っていないとダメなのか？

ベストプラクティスを知った上で、

皆様が「(ビジネス的な)判断をする」ための手法

→リスクや改善点の”顕在化”


パフォーマンスの質問(抜粋)

[PERF6]新しいサービスや機能をどのように取り入れていますか？

□ 新サービスや新機能がリリースされると、評価や調査をしている

□ パフォーマンス向上のため、新サービスや新しいアーキテクチャを

評価するプロセスがある

□ パフォーマンス向上を担当するチームや担当者がいる


お客様の声による新サービス提供と機能改善

90%以上はお客様のフィードバックをもとに開発

24 48 61 82 159280

516722

1,017

1,430

1,957

0

500

1,000

1,500

2,000

2,500

20082009201020112012201320142015201620172018


AWS が提供する 165 種類以上のサービス群


AWS が提供する 165 種類以上のサービス群

大半が「マネージドサービス」


電源、ネットワーク

ラック導入管理

サーバメンテナンス

OSのパッチ

ミドルウェアのパッチ

バックアップ

スケーラビリティ

可用性

ミドルウェアの導入

OSの導入

アプリからの利用

オンプレミスミドルウェアon EC2 マネージドサービス

お客様がご担当する作業 AWSが提供するマネージド機能




OSのパッチ


バックアップ


可用性


OSの導入





OSのパッチ


バックアップ


可用性


OSの導入


マネージドサービスとは



顧客体験事業運営意思決定イノベーション競争上の優位性

40% of digital transformation initiatives supported by AI in 2019 –IDC 2018

機械学習はデジタルトランスフォーメーションの中心に


ML フレームワーク & インフラストラクチャ

AWS の機械学習サービススタック

AI サービスR E K O G N I T I O N

I M A G E

P O L L Y T R A N S C R I B E T R A N S L A T E C O M P R E H E N D

& C O M P R E H E N D

M E D I C A L

L E XR E K O G N I T I O N

V I D E O

映像音声

AMAZON SAGEMAKER

開発学習

F O R E C A S TT E X T R A C T P E R S O N A L I Z E

デプロイPre-built algorithms & notebooks

Data labeling (G R O U N D T R U T H )

One-click model training & tuning

Optimization (N E O )

One-click deployment & hosting

ML サービス

フレームワークインターフェースインフラストラクチャ

E C 2 P 3 & P 3 d n

E C 2 C 5 F P G A s G R E E N G R A S S E L A S T I CI N F E R E N C E

Reinforcement learningAlgorithms & models ( A W S M A R K E T P L A C E F O R M A C H I N E L E A R N I N G )

自然言語応用


AI サービス

機械学習のスキルやモデルの学習を必要としない、事前に学習済みのモデルを提供する AI サービス

既存のアプリケーションやワークフローにインテリジェ

ンスを簡単に追加

継続的に学習する API による精度と正確性

AI サービスR E K O G N I T I O N

I M A G E

P O L L Y T R A N S C R I B E T R A N S L A T E C O M P R E H E N D

& C O M P R E H E N D

M E D I C A L

L E XR E K O G N I T I O N

V I D E O

映像音声

F O R E C A S TT E X T R A C T P E R S O N A L I Z E

自然言語応用



S3

Lake Formation & Glue

Snowball KinesisData Streams

Snowmobile KinesisData Firehose

Redshift

EMR

Athena

Kinesis

Elasticsearch Service

堅牢な Data Lake インフラストラクチャ

SageMaker

Comprehend

Rekognition

耐久性と可用性、エクサバイトスケール

セキュア、準拠、監査可能

きめ細かいアクセスのためのオブジェクトレベルのコントロール

データのサブセットを取得することによる高速パフォーマンス

コンピュートとストレージの分離

オンデマンドリソース、階層化、コストを選択

データレイクのインフラストラクチャと管理


Amazon S3堅牢な Data Lake インフラストラクチャ

✔ 99.99999999999% の耐久性

✔ グローバルレプリケーション

✔ 管理機能

✔ 費用対効果の高いストレージクラス

✔ 多くのパートナーとの統合



AWS Lake Formation安全な Data Lake を数日で構築

データの移動、保存、カタログ化および消去を高速化

複数のサービスにわたってセキュリティポリシーを

適用する

新しいインサイトを発見し管理する



マネージドサービスを活用する

• サーバの構築や OS のセットアップは AWS 側でマネージド

• ミドルウェアの構築やセキュリティアップデート、バックアップも

• ソフトウェアの新しいバージョンの提供も

• お客様側で管理が必要となるインフラストラクチャを最小限に

• 既存のアプリケーションやワークフローに機能を簡単に追加

• 機械学習による推論(予測)、ロボット工学、仮想現実、といった新しい技術を利用可能

• いつでも使い始めることができる



まとめ

• 責任共有モデルを理解し、セキュリティ関連のサービスを活用する• 事前の投資なし、コストを最適化

• 必要なセキュリティを確保

• Well-Architected Framework を活用し、ベストプラクティスを取り入れて効率的に安全なシステムを構築する• クラウド設計・運用のベストプラクティス集

• AWS を正しく安全に活用する方法を知る

• マネージドサービスの活用を積極的に検討する• サーバの構築や OS のセットアップが不要に

• 新しいサービスやアーキテクチャをいつでも、すぐに使い始めることができる

Thank you!


Takuya Oketani

@okeee0315

Date post:	29-Sep-2020
Category:	Documents
Upload:	others
View:	0 times
Download:	0 times

S U M M I T - AWS · これからAWS を本格的に使う方、最近AWS...

Documents