AWSSUMMIT20150603、TA-09〜11みてきた

こんにちは。smallpalaceです。きのうに引き続きみてきたのでかいときますです。

f:id:smallpalace:20150603173126j:plain

各セッションの動画と資料

AWS Summit Tokyo 2015 開催レポート動画・資料一覧 | アマゾンウェブサービス（AWS 日本語）

aws-summit2015-6-3

・TA-09

さかとくさん
パートナー関連

運用関連

システム運用で考えるポイント

監視、死活やキャパシティや性能など
ロギング、
構成管理、システム全体の管理

cloudwatch
各種リソース監視
メンテナンス含めて連携して運用
多くのAWSサービスの監視が可能
課金状況の監視、閾値アラートなど

ツール自体の可用性を考える必要がないのがうれしいポイント。

MetricとNameSpaceとDimensionのグループわけしてみられる
でも保持期限が短いのが玉にきずかなあ。。

ハイブリッドで物理が含まれるなら
よくあるzabbixとかひねもすとか連携してつかうのがおおいと。

クラウドネイティブなのの紹介

マカレルが紹介された。
SaaSのサービスなんですよね。

クラウドパックさんはSensuをつかっておもしろアーキテクチャしてるらしい

インスタンスが自分でチェックした結果を投げてくるみたいな自律的なかんじらしい

CloudWatchLogs　というAWS上のログをとってくれるやつがあるらしい

制限、エージェントが1回で送れるのは32kbまで。
超えるとトランケートされる

ローテーションの話
対応してるのは3つしかない
syslog.logがsyslog.log1に変わったなら追従してくれる
ファイル名にポート番号とか含まれると追えなくなるらしい

フィルタリング機能もあって特定のステータスコードでアラートとかできるらしい

こっからロギングの話

CloudWatchLogsとCloudTrailは連携できてそのCFテンプレートがあるらしい

ElasticSearch、Kibana,Amazon　Lambdaでつっこんでく
kibanaのほかにSplunkもいいらしい
ファイルに限りはなくてアドホックでいいらしい

短期中期長期でいろいろ考えようと。

構成管理

アクションで変更のあったリソースをどう管理していくかという話

AWS Config

どんなところに変更があったか追ってくヒストリ機能

snapshotは現状をとれる

ログはCloudTrailと同じようなかんじでアクションがあったら追ってくようなもの

強力なのはリレーションシップという項目で、
このEC2はどんなSGでEBSがついててみたいなんを管理できる

configつかうと手間なくいろんな切り口でとってこれる

セキュリティグループに紐づいてるインスタンスとか取りやすくなる

スナップショットは今今とれる

Logstrageで現状を可視化できるらしい、
コンフィグのスナップショットをもとに絵にしてくれるサードパーティーツール

ESPカタログ無料配布

@opsjawsをフォローするといいらしい

------------------------------------------
AWSセキュアデザイン（IAM）

たきざわさん

金融とかエンプラ関係の会社の対応を普段してるらしい

１．AWSのセキュリティ

最優先で継続的な投資をしており専属部隊の設置している

責任共有モデルの採用、AWSと利用者の2者で確保

AWS側はIDCっぽいセキュリティを担当、
顧客はネットワーク・サーバ・データ・アクセスコントロールを担当
というような図が。

主要な規制標準ベストプラクティスに準拠してる

監査のしかたはDCに来るとかではないようになってきているので変えていただきたいと。

OS以上は従来通りで監査できる

重要なデータの対する暗号化と鍵管理
AWSが提供するものがある模様

AWSとそのパートナーは700以上のセキュリティサービスを提供してるとのこと

ネットワークセキュリティ
SecurityGroup
NetworkAccessControlList

S3のVPCエンドポイント
プライベートサブネットからS3にアクセス可能に

AWSマーケーっとプレイスで提供する
WAFとかいろいろありスケーラブルな構成を組める

データセキュリティ
データの分類（機密度・漏えいしたときの損害額）
暗号化
暗号鍵の管理（保管場所、権限）
データの削除

CLoudHSMというハードウェアアプライアンスを用いた暗号化
AWS　KeyManagementServciceをつかう、暗号鍵をAWSのなかに置くが鍵の管理そのものを自分で自由に決められる
ユーザによる暗号鍵の持ち込みによる暗号化
KMSのセキュリティ（おすすめ）
　鍵の管理はお客様が自由にきめられる
　
Nasdaqデータ分析基盤の暗号化
オンプレにHSMを構築、暗号鍵をHSMで管理、S3のデータの暗号化、EMR利用時のみ複合化

アクセスコントロール
　誰がいつなんのためになにをという観点という観点でアクセス制御が可能
　MFAデバイス、多要素認証
　ActiveDirectoryとの連携によるシングルサインオンも

２．IAM（アカウント管理）

マネジメントコンソール、
コマンドライン、PowerShell
SDK、
その他AWSサービスから

アクションレベルの権限、リソースレベルの権限、タグベース、、

IAMのTop10 ベストプラクティス