Amazon Web Services ブログ

Category: Learning Levels

Amazon FSx および Amazon EBS のお客様に朗報: AWS Local Zones

AWS re:Invent 2019 では、多くの発表や機能の開始がありました。そうした中で、AWS ストレージユーザー向けの今後の可能性に関する発表の 1 つが、AWS Local Zones に関するものでした。現在のところ、このニュースは特にロサンゼルス近郊でハイパフォーマンスのアプリケーションを実行している Amazon FSx および Amazon Elastic Block Store (Amazon EBS) のお客様に関連しています。 新しいタイプの AWS インフラストラクチャのデプロイメントとして、AWS Local Zones は、現在 AWS リージョンが存在しない大規模な集団、産業、IT センターの近くに選択したサービスを配置するのに役立ちます。Local Zones を使用すると、アプリケーションのレイテンシーに敏感な部分を、簡単に特定の地域のエンドユーザーおよびリソースに対してローカルで実行できます。これにより、メディアおよびエンターテインメントのコンテンツ制作、リアルタイムゲーム、油層シミュレーション、電子設計の自動化、機械学習などのユースケースで非常に低いレイテンシー (ミリ秒 1 桁) を実現できます。 それぞれの Local Zone は、アプリケーションが Amazon FSx や Amazon EBS などの AWS のサービスを使用する AWS リージョンの拡張です。たとえば、Amazon FSx を使用するレイテンシーの影響を受けやすいアプリケーションでは、ローカルワークロードと近接する AWS リージョンで実行されているワークロードとの間の高帯域幅で安全な接続を活用できます。これにより、同じ API とツールセットを使用して、AWS […]

Read More

EC2 インスタンスメタデータサービスの拡張により、オープンなファイアウォール、リバースプロキシ、SSRFの脆弱性に対する防御を強化しました

10 年以上前にリリースして以来、Amazon EC2 インスタンスメタデータサービス ( IMDS ) は、安全でスケーラブルなアプリケーションの構築を支援してきました。IMDS は、一時的な認証情報へのアクセスを提供することで、クラウドユーザーにとって大きなセキュリティ上の課題を解決し、手動またはプログラムによってインスタンスに機密認証情報をハードコードしたり、配布したりする必要をなくしました。EC2 インスタンスにアタッチされた IMDS は、特別な「リンクローカル」の IP アドレス 169.254.169.254 で接続され、インスタンスで実行中のソフトウェアだけがアクセスできます。アプリケーションは IMDS にアクセスして、インスタンス、ネットワーク、およびストレージに関するメタデータを利用できます。また、IMDS は、インスタンスにアタッチされている IAM ロール による AWS 認証情報を使用できるようにします。 クラウドでアプリケーションを実行する場合、アプリケーションのセキュリティはインスタンスのセキュリティと同様に重要です。インスタンスで実行されているアプリケーションに脆弱性や設定ミスがあると、重大な問題が生じる可能性があります。アプリケーションセキュリティは多層防御において重要な役割を果たしますが、AWS はインスタンス内であっても、このような状況による被害の可能性を最小限に抑えるために、防御レイヤーを追加する場所をいつも検討しています。 本日、EC2 インスタンスメタデータサービスの v2( IMDSv2 )が利用可能になりました。既存のインスタンスメタデータサービス( IMDSv1 )は完全にセキュアであり、こちらも引き続きサポートします。しかし、IMDSv2 は、IMDS へのアクセスを試みる可能性がある4種類の脆弱性に対して新しい保護を追加します。この新しい保護は、IAM ロールの制限や、ローカルファイアウォールのルールを使用した IMDS へのアクセス制御など、既存の緩和策とシームレスに連携しますが、これらの緩和策よりも効果的に機能します。また、IMDSv2 をサポートする新しいバージョンの AWS SDK および CLI も利用可能です。 IMDSv2 の新機能 IMDSv2 では、すべてのリクエストがセッション認証によって保護されるようになりました。このセッションは、EC2 インスタンスで実行中のソフトウェアがリクエストするもので、ローカルに保存されている EC2 インスタンスのメタデータと認証情報にアクセスするためのものです。ソフトウェアは、IMDSv2 への単純な HTTP PUT リクエストを使用してセッションを開始します。IMDSv2 […]

Read More

AWS 環境でセキュリティレスポンスの自動化を始める方法

AWS では、AWS 環境内のセキュリティイベントについて自動化による迅速な検知と対応をすることをお勧めしてます。自動化は、検知と対応の速度を向上させることに加えて、AWS で実行するワークロードを拡大するときにセキュリティ運用もスケーリングするのに役立ちます。これらの理由から、セキュリティの自動化は、Well-Architected フレームワークとクラウド導入フレームワークの両方、およびAWS セキュリティインシデント対応ガイドで概説されている重要な原則です。 このブログでは、AWS 環境内に自動セキュリティレスポンスメカニズムを実装する方法を学習します。このブログには、一般的なパターン、実装に関する考慮事項、およびソリューション例が含まれます。セキュリティレスポンスの自動化は、多くの分野にまたがる広範なトピックです。このブログの目標は、基本的な考え方を紹介し、セキュリティレスポンスの自動化の開始を支援することです。

Read More

Amazon EFS と AWS Backup を使用した自動バックアップのスケジューリング

  概要 共有ファイルシステムの使用は、多くのコンピューティングインフラストラクチャにとって重要なコンポーネントです。Linux システムの場合は通常、ネットワークファイルシステム (NFS) を使用して、Linux ホストからマウントされます。ユーザーはホームディレクトリにデータを保存でき、ファイルシステム全体で他のユーザーとデータを共有できます。Amazon Elastic File System (Amazon EFS) は、Linux ホストの場合にこの用途を利用できるクラウドネイティブサービスです。 Amazon EFS は、お使いのファイルに可用性と耐久性の高いバッキングストアをもたらしますが、ファイルが誤って削除された場合やファイルの以前のバージョンを復元する必要がある場合に備えて、ファイルシステムのバックアップを作成するのも役立ちます。AWS Backup を使用すれば、Amazon EFS ファイルシステムのバックアップを一元的に管理、自動化でき、リカバリポイントを復元できます。 この記事では、CloudFormation スタックを起動し、Amazon EFS ファイルシステムと AWS Backup のボールトを作成して Amazon EFS バックアップを安全に保存する方法を説明します。その後、EFS ファイルシステムのバックアップについて取り上げ、特定の復旧ポイントからバックアップを復元する方法についても説明します。 Amazon EFS Amazon EFS は、オンプレミスリソースだけでなく AWS でも実行できるシンプルでスケーラブルでフルマネージド型の伸縮自在な NFS ファイルシステムを提供します。オンデマンドでエクサバイト単位にまで伸縮自在に拡張できるように構築されており、ファイルを追加、削除すると自動的に拡大および縮小するため、成長に対応するために容量をプロビジョンしたり管理したりする必要はありません。 EFS は、幅広いユースケースに対応しています。可能な範囲で最高のスループットが求められる、高度に並列化されスケールアウトされたワークロードから、シングルスレッドで低レイテンシ―が必要なワークロードまで、広範囲にわたります。 以下の Amazon EFS のユースケースを検討してください。 リフトアンドシフト方式のエンタープライズアプリケーション ビッグデータ分析 ウェブ配信とコンテンツ管理 アプリケーションの開発とテスト メディアとエンターテインメントのワークフロー データベースのバックアップ コンテナストレージ AWS […]

Read More

AWS KMS の新機能 公開鍵暗号によるデジタル署名

AWS Key Management Service で公開鍵暗号をサポートするようになりました。AWS SDK の新しい API を使ってアプリケーションデータを保護するために公開鍵、秘密鍵のキーペアを作成、管理、利用することが可能になりました。既に提供されている共通鍵暗号機能と同様に、公開鍵暗号の秘密鍵は KMS サービスの外側には出ないカスタマーマスターキー(CMK)として生成出来ます。また、データキーとしても生成可能で、データキーの秘密鍵の部分はアプリケーションに CMK で暗号化して渡すことが可能です。公開鍵 CMK の秘密鍵の部分は、AWS KMS のハードウェアセキュリティモジュールに格納されるため、AWS 従業員を含む誰も平文のキーマテリアルにアクセスすることは出来ません。AWS KMS のサポートする公開鍵のタイプは、 RSA 2048, RSA 3072, RSA 4096, ECC NIST P-256, ECC NIST P-384, ECC NIST-521, ECC SECG P256k1となります。 リリースの背景 システム間でデジタルメッセージの整合性を保証する一般的な方法はデジタル署名です。送信者は元のメッセージに暗号アルゴリズムに基づいた暗号鍵を使ってデータ構造を追加します。これにより、暗号鍵にアクセス出来る受信者は暗号学的にメッセージが改変されていないことを確認できます。受信者が送信者が使ったのと同じ暗号鍵にアクセス出来ない場合に、公開鍵暗号によるデジタル署名の仕組みが役立ちます。送信者は鍵の公開部分をすべての受信者に公開できますが、送信者は鍵の秘密部分を使って署名をコントロールすることが引き続き可能です。公開鍵暗号は信頼されたソースコードや認証認可用のトークン、文書の電子署名、エレクトリックコマースのトランザクション、セキュアメッセージングなどに利用されています。AWS KMS は 基本的なデジタル署名と言われている機能をサポートします。これは署名オブジェクトの中に ID 情報が含まれていないものです。一般的に ID 情報をデジタル署名に添付する方式はデジタル証明書です。もしお客様のアプリケーションが署名や署名確認のためにデジタル証明書を必要としている場合には、AWS Certificate Manager のプライベート CA 機能をおすすめします。 このサービスはデジタル署名アプリケーションのためにプログラム的に暗号鍵を含んだ証明書を作成してデプロイする機能を提供します。典型的なデジタル証明書を使うアプリケーションは、Webサーバー上で通信をセキュアにするために使われるTLS 処理です。 AWS KMS […]

Read More

【開催報告】ビルシリーズ@住友不動産六本木グランドタワー 第1回

みなさんこんにちは!アマゾンウェブサービスジャパン株式会社 ソリューションアーキテクトの木村公哉です。 11月21日に「ビルシリーズ@六本木一丁目住友不動産六本木グランドタワー 第1回」を開催いたしました。今回は「初めてのサーバレスWebアプリケーションハンズオン」を実施しました。こちら「ビルシリーズとは?」とお思いの方も多いかと思いますので、開催報告と合わせてご説明いたします。 「ビルシリーズ」とは? このイベントは、日頃AWSをご利用いただいているお客様に、AWSからの情報発信はもちろん、同じビルに拠点を構えるお客様同士の活発な意見交換と交流の場を定期的に作ることを目的としたものです(同じビルなので移動が楽!)。 今回、住友不動産六本木グランドタワーのFringe81様、BASE様、エブリー様、ディップ様で同じようなニーズがあり、このようなビル単位でのイベントを開催する運びとなりました。場所はFringe81様の素敵な大会場をお借りいたしました。Fringe81様ありがとうございました。 来月には住友不動産麻布十番ビルでも開催を予定しており、今後もこのようなビル単位で交流ができるようなイベントを開催していきたいと考えております。 当日の様子 当日は約40人のお客様にお越しいただき、イベントは終始盛り上がりを見せておりました。   まずはAWSJ 植本より、今回のビルシリーズの趣旨などを説明いたしました。   次に、AWSJ 木村より「サーバレスのご紹介 – ユースケースパターンを切り口に」というタイトルで、AWSのサーバレスプラットフォームについてご紹介いたしました。   続けてAWSJ 木村より「初めてのWebアプリケーションハンズオン」を実施いたしました。   ハンズオンの終了後、ご参加いただいた皆様と共に、簡単な懇親会を開催いたしました。   今回、AWSJより、アカウントマネージャー植本、藤田、細木、ソリューションアーキテクト上原、石見、小宮、木村がビルシリーズをサポートいたしました。こちらはソリューションアーキテクトの集合写真です。 貴社担当のアカウントマネージャから「ビルシリーズ」のお誘いがあるかもしれませんが、是非ご検討いただければと思います。それでは、次回のビルシリーズでお会いしましょう!   著者について 木村 公哉(Kimura, Koya) 香川県出身のソリューションアーキテクトです。好きなサービスはAWS AmplifyとAWS Lambda、Amazon Kinesisです。好きな食べ物はうどんです。   上原 誠(Uehara, Makoto) アマゾンウェブサービスジャパン株式会社のソリューションアーキテクトとして、主にメディア系のお客様に対する技術支援を担当。技術的な得意/興味領域としては、アナリティクス系テクノロジー、広告系ソリューションなど。

Read More

ローンチニュース: AWS DataSync が料金を下げ、新しいリージョンで開始、スケジューリングを追加

本日、AWS DataSync は、オンプレミスストレージから Amazon S3 または Amazon Elastic File Service (Amazon EFS) にデータを移動するお客様を支援する 3 つの拡張機能をリリースしました。DataSync は re:Invent 2018 で開始され、移行、処理、保護のために、AWS の内外にデータを移動するときにお客様が直面する一般的な課題を克服します。DataSync は、スクリプトの作成、保守、監視、ネットワークの最適化、データの整合性の検証など、データ転送に関連する多くの手動タスクを自動的に処理します。 AutoDesk や Cox Automotive などの企業は、数百テラバイト、さらにはペタバイト単位に及ぶオンライン転送でこのサービスを利用しています。そして、DataSync チームは、開始以来、特にフィルタリング、SMB ファイルの共有のサポート、VPC エンドポイントの追加など、お客様のリクエストに基づいた革新に忙しく取り組んでいます。 それでは、今回の改善点を掘り下げてみましょう。 DataSync は、料金を 68% 下げて、AWS との間でコピーされるデータのギガバイトあたり 0.0125 USD にしました。DataSync の料金はシンプルです。データの移動に対して、前払い料金や最低請求額なしで、GB 単位のフラットな料金をお支払いいただきます。今回の料金引き下げにより、データの AWS への移行はますます手頃な料金になります。また、Amazon EFS のリージョン間およびアカウント間でのレプリケーション、集中型 Amazon S3 バケットとの間でのメディア配信など、他のユースケースのコスト効率も高まります。リージョンから転送されたデータ、またはリージョン間で転送されたデータの AWS 標準請求にご注意ください。これらの料金は、データのコピー元のサービスの料金ページに詳細が記載されており、リージョンによって異なります。 リージョンについて言うと、DataSync はさらに 5 つのリージョンで利用可能になりました。具体的には、本日、DataSync は欧州 (ストックホルム)、南米 […]

Read More

ポスト量子暗号 TLS が AWS KMS でサポートされました

AWS Key Management Service (AWS KMS) が KMS API エンドポイントに接続する際に使われる Transport Layer Security (TLS) ネットワーク暗号化プロトコルにおけるポスト量子暗号ハイブリッド鍵交換をサポートしました。この投稿では、ポスト量子暗号 TLS とは何か、 ハイブリッド鍵交換とは何か、 なぜこれらの技術が重要か 、この機能でどのようなメリットを得られるのか、そしてフィードバックの方法について説明します。 ポスト量子暗号 TLS とは? ポスト量子暗号 TLS は、ポスト量子暗号の暗号プロトコルを追加する機能です。 AWS はオープンソースの TLS 実装である s2n を使用しています。2019年6月に AWS はポスト量子暗号 s2n をリリースしました。これは、IETF ドラフトで定義されている2種類のポスト量子暗号ハイブリッド暗号スイートを実装しています。暗号スイートは、従来型とポスト量子暗号の両方のセキュリティ保護を行う暗号鍵交換方式を指定するものです。 ポスト量子暗号 TLS の重要性 大規模な量子コンピュータは、TLS 接続の暗号鍵交換で使用されている既存の公開鍵暗号を破る可能性があります。大規模な量子コンピューターは現時点で利用可能ではありませんが、長期的なセキュリティ保護のニーズについて考え、準備しておくことが重要です。記録された TLS トラフィックは将来的に大規模な量子コンピュータで復号出来る可能性があります。TLS 接続の上で送信されているデータの長期間の機密性維持が必要なアプリケーションを開発している場合、大規模な量子コンピュータが実用化され、悪意を持った人に利用可能になる前にポスト量子暗号に移行することを検討するべきでしょう。AWS はこの機能の提供について取り組んでおり、お客様にも準備して頂きたいと考えています。 AWS は大規模な量子コンピュータの実現を待つのではなく、今この機能を提供します。 お客様は、アプリケーションに対する潜在的なパフォーマンス影響を計測することが可能です。また、お客様は、ポスト量子暗号スキームによってもたらされる追加の利点を得ることが可能です。AWS はこの機能が既に存在する KMS エンドポイントへの接続に関するセキュリティーのバーを向上させると考えていると共に、新しい暗号スイート帯域利用率やレイテンシに影響を与えると考えています。また、TLS 接続を中継する中間システムにも影響を与える可能性があります。将来に渡るサービスの改善のために AWS はこれらのお客様環境における影響についてフィードバックして頂きたいと考えています。 ポスト量子暗号 […]

Read More

re:Invent 2019 の AWS アイデンティティセッション、ワークショップ、チョークトークのご案内

AWS re:Invent 2019 が間近にせまってきました! 参加するセッションの優先順位をつけないといけませんね。そこで AWS re:Invent 2019 での AWS Identity セッション、ワークショップ、チョークトークのリストをご用意しました。re:Invent にまだ登録していない場合は、社内承認のためのテンプレートがありますのでこちらもご利用ください。 AWS アイデンティ リーダシップ キーノート SEC207-L — Leadership session: AWS identity (Breakout session) リーダーシップセッション: AWS アイデンティティ (ブレイクアウトセッション) デジタルアイデンティティは、クラウドで最も急速に成長し、最も急速に変化している領域の1つです。ゼロトラストネットワーク、GDPRの懸念、および新しい IoT の機会がニュースでよく報道されています。このセッションではこの重要な業界の変化について触れ、お客様とその顧客の両方のアイデンティティにアプローチする AWS の方法について学びます。 新機能の発表や、オープンスタンダードと業界グループへの取り組みについて議論し、アイデンティティ、アクセス制御、リソース管理をより簡単にする方法を説明します。 自社環境向けの AWS アイデンティティ マネジメント FSI310 — The journey to least privilege: IAM for Financial Services (Chalk talk) 最小権限への旅:金融サービスのための IAM (チョークトーク) AWS […]

Read More

使用されていないAmazon EBSボリュームを削除してAWSのコストをコントロールする

業界や業種を問わず、お客様にとってコスト管理は最優先事項の1つです。 EBSボリュームのライフサイクルの可視性が十分でないと、未使用のリソースに対してコストが発生する可能性があります。 AWSはコスト管理のサービスを提供しており、コスト情報へのアクセス、コストの理解、コストの制御、およびコストの最適化を行えるようにしています。 未使用、および管理が行き届いていないAmazon EBSボリュームは、AWS のコストに影響します。 EBSボリュームのライフサイクルは、Amazon EC2 コンピューティングインスタンスから独立して管理可能です。そのため、EBS ボリュームに関連付けられている EC2インスタンスが終了しても、EC2起動時に「終了時に削除」 オプションを選択しない限り、EBS ボリュームは削除されません。 また、開発とテストのサイクルの中でEC2インスタンスの起動停止を繰り返す際、自動的にEBSボリュームを削除する処理がないと、 EBS ボリュームが残る可能性があります。 EC2にアタッチされておらず孤立したEBS ボリュームは、アタッチされていない間も料金が発生します。 この記事では、OpsCenter を活用した自動化プロセスについて説明します。OpsCenter は、AWS Systems Manager の一機能として最近発表されたもので、OpsCenterを使えば、EC2 インスタンスにアタッチされておらず、未使用なEBS ボリュームを識別および管理できるようになります。

Read More