Author: Jeff Barr

ユーザーとその同僚がモバイルデバイスを使用して社内ウェブサイトとアプリケーションに容易にアクセスできるようにします。当社の目標は、ワークフォースに貴重なインターネットコンテンツへの制御されたアクセスを提供する一方で、強力なセキュリティプロファイルを維持することです。 Amazon WorkLinkを紹介 今回は、Amazon WorkLink について説明したいと考えています。コンテンツを修正したり、移行する必要なく、社内ウェブサイトとアプリケーションにシームレスなアクセスが得られます。Amazon WorkLink は完全に管理された従量制のサービスで、組織のニーズに合わせてスケール自在です。セットアップと実行が容易で、既存のサイトやコンテンツを移行したり、修正したりする必要はありません。モバイルデバイスからアクセス可能なドメインに対して完全なコントロールを取得し、ユーザーベースを管理するために、既存の SAML ベースのアイデンティティプロバイダー (IdP) を使用できます。 Amazon WorkLink は、Virtual Private Cloud (VPC) を通じて社内リソースにアクセスできます。リソースは、その VPC 内 (たとえば、EC2 インスタンスでホストされるアプリケーション)、それとピアリングする別の VPC 内、またオンプレミスに存在することができます。オンプレミスの場合、リソースは IPsec トンネル、AWS Direct Connect、または新しい AWS Transit Gateway 経由でアクセスできなければりません。VPC で実行中のアプリケーションは、AWS ネットワークのすべてのトラフィックを維持しながら、AWS PrivateLink を使用して AWS サービスにアクセスできます。 お客様のユーザーはセキュアで、非侵襲的な閲覧経験が得られます。法人のコンテンツは AWS クラウド 内でレンダリングされ、セキュアな接続を通じて各デバイスに配信されます。今後数週間以内に iOS 12 を実行するデバイスのサポートを、Androind 6+ のサポートで開始します。 Amazon WorkLink の内部 Amazon WorkLink は、作成する各 WorkLink […]

HTTPS プロトコルを使用してウェブサイトにアクセスすると、安全な通信チャネルを作成および維持するために、（正式には SSL/TLS ハンドシェイクとして知られている）興味深い作業が多く発生します。クライアント（ブラウザ）とウェブサーバーは、暗号に関してお互いの同意を得るために交渉し、キーを交換し、そしてセッションキーを設定するために協力します。確立されると、会話の両端にセッションキーを使用して、それ以降のトラフィックをすべて暗号化および復号化します。セッションキーはクライアントとサーバー間の会話固有のものであるため、第三者がトラフィックを復号化したり会話を妨害したりすることはできません。 新しい TLS の終端処理 今日は、Network Load Balancer で終端される TLS (Transport Layer Security) 接続を利用できるようにすることで、安全なウェブアプリケーションを構築するプロセスを簡略化しています（TLS は HTTPSで「S」を提供すると考えることができます）。これにより、バックエンドのサーバーは、トラフィックをすべて暗号化および復号化するコンピューティング集約型の作業から解放されます。また、その他にも多くの機能や利点を備えています。 ソース IP 保持 – NLB で TLS が終端されている場合でも、ソース IP アドレスとポートはバックエンドサーバーに提示されます。これは、同僚の Colm が言うように、「非常識な魔法」に近いです。 管理の簡素化 – 大規模の TLS を使用するということは、サーバー証明書を各バックエンドのサーバーに配布する責任があることを意味します。これにより、（場合によっては大量のプロキシサーバーを含む）余分な管理作業が発生し、また証明書のコピーが複数存在するため、攻撃対象領域が増大します。今日の発表は、複雑さをすべて取り除き、証明書の中央管理を可能にします。AWS Certificate Manager (ACM) を使用している場合、証明書は安全に保管され、定期的に期限切れとローテーションを管理し、何もしなくても自動的に更新されます。 ゼロデイパッチ – TLS プロトコルは複雑で、新たな脅威に対応するために実装が随時更新されます。NLB で接続を終端すると、バックエンドのサーバーが保護され、これらの脅威に対応する NLB を更新できるようになります。セキュリティを重視し、正式に検証された TLS/SSL プロトコルの実装である s2n を利用します。 コンプライアンスの向上 – 組み込みセキュリティポリシーを使用して、アプリケーションに適した暗号スイートとプロトコルバージョンを指定できます。これはお使いの PCI と […]

長年のブログ読者なら、私が現代世界の大部分を可能にし、それらを動かしている舞台裏そして地下の活動に興味をそそられることをすでに把握しておられるかもしれません。例えば、私は昨年末、どのように AWS クラウドが re:Invent で地下に潜るかについて説明し、re:Invent の参加者と、遠方からキーノートとライブストリーミングをご覧になっていた皆さんに最高の接続性を提供するために使用された、通信およびネットワークインフラストラクチャに関する情報をお伝えしました。 Invent 2018 が過去のものとなり、来年の計画がすでに進められている今日、5 回に渡って re:Invent ネットワークサービスプロバイダーを務めた CenturyLink が、180 Gbps の帯域幅を提供するために AWS Direct Connect を使用する冗長性と回復性を備えたネットワークを設計して構築し、8 つの会場全体で接続された 81,000 個を超えるデバイスをサポートした方法について説明したいと思います。地上では、各会場における ShowNets のカスタムネットワークと WiFi デプロイメントを CenturyLink によって提供されたインフラストラクチャに接続するために、ShowNets と密接に連携しました。 2018 re:Invent のネットワーク 2018 年、このネットワークには、Sands Expo、Wynn Resort、Circus Circus、Mirage、Vdara、Bellagio、Aria、および MGM Grand の各施設を網羅した最新のマルチノードメトロファイバーリングによる、複数の AWS リージョンへの多様なルートが含まれていました。各会場、そして複数の AWS Direct Connect ロケーションに対する 10 Gbps の冗長接続が、優れた可用性を確保にするために使用されました。ネットワークは CenturyLink Cloud Connect Dynamic Connections […]

AWS を使用すると、ファイルシステム、ブロックストレージボリューム、リレーショナルデータベース、NoSQL データベース、および貴重なデータを保存するその他のリソースを簡単かつ動的に作成できます。必要に応じてすぐに作成し、必要なだけストレージにアクセスできます。これにより、大規模なクラウド移行への扉を開くことができます。機密データをクラウドに移行する際に、ビジネス要件および法令遵守要件を引き続き満たしていることを確認する必要があります。また、間違いなくアプリケーションのエラーから保護されていることを確認する必要があります。 上記の多くのサービスに組み込まれている組み込みのスナップショット操作を使用して、独自のバックアップツールを作成することができます。ただし、企業全体のバックアップ戦略とそれを実装するツールを作成するには、まだ多くの作業が必要です。私たちは変化をもたらすために努めています。 新しい AWS バックアップ AWS Backup は、バックアップの自動化と集中管理を支援するように設計されています。中央コンソールを使用して、ポリシー主導のバックアッププランの作成、進行中のバックアップステータスのモニタリング、コンプライアンスの検証、バックアップの検索または復元をすべて行うことができます。既存の AWS スナップショット操作と新しい専用バックアップ操作の組み合わせ、そして古いバックアップを Amazon Glacier に階層化する機能を使用して、バックアップは EBS ボリューム、EFS ファイルシステム、RDS  データベース、DynamoDB テーブル、および Storage Gateway ボリュームを Amazon Simple Storage Service (S3) にバックアップします。バックアップには Storage Gateway ボリュームのサポートが含まれているため、作成したバックアップに既存のオンプレミスデータを含めることができます。 各バックアッププランには、1 つ以上のバックアップルールが含まれています。ルールは、バックアップスケジュール、頻度、およびバックアップウインドウを表します。バックアップするリソースは、タグを使用して明示的に、またはポリシー主導の方法で識別できます。ライフサイクルルールは、ストレージの階層化と古いバックアップの有効期限を制御します。バックアップは、回復ポイントを定義するコレクションに、一連のスナップショット、そしてスナップショットと共に移動するメタデータを集めます。毎日、毎週、毎月のバックアップ戦略を制御し、重要なデータが要件に従って確実にバックアップされていることを確認し、必要に応じてデータの復元機能を定義することができます。バックアップはボールトにグループ化され、それぞれが KMS キーで暗号化されます。 AWS バックアップの使用 数分で AWS Backup を始められます。AWS Backup コンソールを開き、[バックアッププランの作成] をクリックします。 最初からプランを立てるか、既存のプランから始めるか、または JSON を使用してプランを定義することができます。[新しいプランを立てる] を選択して、プランに名前をつけることから始めてみます。 今度はバックアッププランの最初のルールを作成します。これを MainBackup と呼ぶことにします。毎日実行し、（1 ヵ月後にコールドストレージに移行し、6 ヵ月後に期限切れにする）ライフサイクルを定義し、[デフォルト] ボールトを選択します。 […]

AWS データベースのページを見ると、私たちが信じられないほど幅広い種類のデータベースを提供していること、それぞれが特定のニーズに対応するために作られていることが分かるでしょう！ 最も素晴らしく、最も強力なアプリケーションを構築するために、リレーショナルデータベース、キーバリューデータベース、インメモリデータベース、グラフデータベース、時系列データベース、台帳データベースを組み合わせることができます。 Amazon DocumentDB (MongoDB 互換) の概要 本日、既存の MongoDB アプリケーションおよびツールと互換であるように設計された、高速、スケーラブル、高可用性のドキュメントデータベース Amazon DocumentDB (MongoDB 互換) を開始します。Amazon DocumentDB は、専用の SSD ベースのストレージレイヤーを使用し、3 つの個別のアベイラビリティーゾーンにわたって 6 のレプリケーションを作成します。このストレージレイヤーは分散型で、耐障害性があり、自己修復型であるため、本稼働規模の MongoDB ワークロードを実行するために必要なパフォーマンス、スケーラビリティ、可用性が得られます。 それぞれの MongoDB データベースには、一連のコレクションが含まれています。それぞれのコレクション (リレーショナルデータベースのテーブルに類似) には、それぞれが JSON に似ている BSON フォーマットである、一連のドキュメントが含まれています。以下に例を挙げます。 { name: “jeff”, full_name: {first: “jeff”, last: “barr”}, title: “VP, AWS Evangelism”, email: “jbarr@amazon.com”, city: “Seattle”, foods: [“chocolate”, “peanut butter”] } […]

今月の初めに、同僚の Bala Thekkedath がエクストリームスケール HPC についての記事を公開し、AWS のお客様である Western Digital が AWS でクラウド規模の HPC クラスターを構築し、それを使用して次世代ハードディスクドライブ (HDD) のための将来のヘッドにおける極めて重要な要素をシミュレートした方法について語りました。 この記事で説明されているシミュレーションには 250 万強のタスクが含まれており、その実施は vCPU 100 万個の Amazon EC2 クラスター上でわずか 8 時間で完了しました。Bala がその記事で述べたように、Western Digital でのシミュレーション作業のほとんどが、HDD を包含するテクノロジーとソリューションの異なる組み合わせを評価する必要性を中心に展開されています。エンジニアはその過程において、ますます多くのデータを同じ領域に詰め込むこと、ストレージ容量を改善すること、そして転送速度を向上させることに焦点を当てます。材料、エネルギーレベル、および回転速度の何百万もの組み合わせのシミュレートすることは、Western Digital が最も高い密度と最も速い読み取り/書き込み時間を追求することを可能にし、結果をより迅速に得ることは、より良い判断を行うことを可能にすると共に、新しい製品を以前より速く市場に出すことができるようにします。 以下は、Western Digital のエネルギーによる記録処理が行われる様子を可視化したものです。上の横棒は磁気、中央の横棒は付加されたエネルギー (熱)、そして下の横棒は磁気と熱の組み合わせによって媒体に書き込まれた実際のデータを表しています。 先日、私は記録を塗り替えるこのシミュレーションを実現するために共に取り組んだ私の同僚、Western Digital のチーム、そして Univa に話を聞きました。私の目的は、このシミュレーションのための準備方法についての詳細を解明し、彼らが学んだ事柄を理解して、独自の大規模ジョブを実行する準備が整っている皆さんとそれらを分かち合うことでした。 規模の拡大 約 2 年前、Western Digital チームは、可能な限りコスト効率を良くするために、EC2 スポットインスタンスによって作動する、vCPU 8 万個もの大きさのクラスターを実行していました。クラスターは、8,000 個、1 万 6,000 個、および […]

去年、皆さんとお約束したとおり、スウェーデンの AWS リージョンが始動し、本日よりご利用いただけるようになりました。 公式名は欧州 (ストックホルム) で、API 名は eu-north-1 です。このリージョンは既存の 欧州 (アイルランド)、欧州 (ロンドン)、欧州 (フランクフルト)、欧州 (パリ) に加えて 5 番目のリージョンとなります。これらのリージョン全体で 15 のアベイラビリティーゾーンが提供され、回復力と耐障害性に優れたアプリケーションを構築できるようになります。これで、北欧のお客様のデータをより所在地から近い場所で管理するのに役立つ選択肢をご利用いただけるようになりました。 インスタンスとサービス この 3-AZ リージョンで実行するアプリケーションは、C5、C5d、D2、I3、M5、M5d、R5、R5d、および T3 のインスタンスを使用でき、次に示す豊富な AWS サービスを使用できます。Amazon API Gateway、Application Auto Scaling、AWS Artifact、AWS Certificate Manager (ACM)、Amazon CloudFront、AWS CloudFormation、AWS CloudTrail、Amazon CloudWatch、CloudWatch Events、Amazon CloudWatch Logs、AWS CodeDeploy、AWS Config、AWS Config Rules、AWS Database Migration Service、AWS Direct Connect、Amazon DynamoDB、EC2 Auto Scaling、EC2 Dedicated […]

昨年後半に、Amazon EC2 P3 インスタンスについてお伝えしましたが、その際 Tensor Core のコンセプトにも触れました。これは、大規模なディープニューラルネットワークのための機械学習のトレーニングと推論にかかる時間を短縮する、計算に特化したユニットです。弊社のお客様はこの P3 インスタンスにご満足のようで、さまざまな機械学習や HPC ワークロードの実行に、これらのインスタンスを使用されているようです。例を挙げると、fast.ai は、100 万個の画像を使った ResNet-50 深層学習モデルをわずか 40 USD でトレーニングしますが、深層学習の最速スピード記録を達成しました。 限界への挑戦 今日、p3dn.24xlarge インスタンスを追加して、P3 を最上位の製品へと拡張し、その結果、GPU メモリは 2 倍に、vCPU は p3.16xlarge インスタンスと同じ 1.5 倍に増強しました。このインスタンスは、100 Gbps のネットワーク帯域幅 (以前の P3 インスタンスの最大 4 倍の帯域幅)、ローカル NVMe ストレージ、32 GB の GPU メモリを装備した最新の NVIDIA V100 Tensor Core GPU、高速化した GPU 間の通信を行う NVIDIA NVLink、そして全コア Turbo をサポートし 3.1 […]

以前に説明したように、顧客はさまざまな理由で複数の AWS アカウントを使用しています。一部の顧客は、複数のアカウントを使用して管理および課金を切り分けています。爆発半径を設定して、間違いの影響をコントロールしている顧客もいます。 こうした分離はすべての顧客にとって実際にポジティブなものですが、特定のタイプの共有が有用で有益であることも判明しています。たとえば、多くの顧客は、管理のオーバーヘッドや運用コストを削減するために、リソースを一元的に作成してアカウント間で共有したいと考えています。 AWS Resource Access Manager 新しいAWS Resource Access Manager (RAM) は、AWS アカウント間でのリソース共有を容易にします。AWS 組織内でリソースを簡単に共有でき、コンソール、CLI、一連の API から使用できます。Route 53 Resolver ルールのサポートを開始 (昨日、Shaunの素晴らしい記事で発表) し、近いうちにさらに多くの種類のリソースを追加します。 リソースを共有するには、単にリソース共有を作成し、名前を付け、リソースを 1 つ以上追加し、他の AWS アカウントへのアクセス権を付与するだけです。それぞれのリソース共有はショッピングカートに似ており、異なる種類のリソースを保持できます。自分が所有しているリソースはすべて共有できますが、共有されているリソースを再共有することはできません。リソースは、組織、組織単位 (OU)、AWS アカウントで共有することができます。また、組織外のアカウントを特定のリソース共有に追加できるかどうかをコントロールすることもできます。 組織のマスターアカウントの共有を、RAM コンソールの [Settings] ページで有効にする必要があります。 その後、組織内の別のアカウントとリソースを共有すると、リソースはどちらの側でもさらなるアクションなしで利用可能になります (RAM は、アカウントが組織に追加されたときに行われたハンドシェイクを利用します)。組織外のアカウントでリソースを共有すると、そのアカウントでリソースを利用できるようにするために承認する必要がある招待が送信されます。 リソースがアカウント (消費アカウントと呼ぶ) と共有されると、共有リソースは消費アカウントが所有するリソースと共に適切なコンソールページに表示されます。同様に、Describe/List をコールすると、共有リソースと消費アカウントが所有するリソースの両方を返します。 リソース共有にタグを付け、IAM ポリシーでタグを参照してタグベースの権限システムを作成することができます。リソース共有から、いつでもアカウントやリソースを追加したり削除したりすることができます。 AWS Resource Access Manager の使用 RAM コンソールを開き、[Create a resource share] をクリックして開始します。 共有の名前 […]

お客様のニーズに基づいたイノベーションが実現するのを目の当たりにする経験は、飽きることがありません。 AWS のお客様からペタバイト単位のデータを AWS に出し入れする簡単な方法が必要だという要望をいただいたとき、私たちは AWS Snowball でお応えしました。その後、AWS にデバイスを送信してデータを戻す前に (多くの場合、オフラインで) ローカルデータ処理やフィルタリングを行いたいという要望をお客様からいただいたときは、AWS Lambda 関数を使用してローカル処理を行える AWS Snowball Edge を提供しました。今年の始めには、EC2 コンピューティングインスタンスのサポートを追加し、デバイスごとに最大 10 個の AMI を事前ロードできるサイズと機能を備えた 6 つのインスタンスが利用可能になりました。 素晴らしい進歩ですが、これで終わりではありません! コンピューティング能力と GPU の増強 嬉しいことに、私たちは 2 つの新しい Snowball Edge オプションを提供する準備ができています。それは、Snowball Edge Compute Optimized と Snowball Edge Compute Optimized with GPU です (元の Snowball Edge は、Snowball Edge Storage Optimized という名称になりました)。どちらのオプションにも、42 TB の […]