AWS Config

エンタープライズクラウド部の山下(祐)です。 最近、200個くらいのアカウントでAWS Configが有効化されているか確認する必要があったため、 簡単なスクリプトを作って確認してみました。 本ブログでは、その内容についてご紹介します。 今回の環境 事前準備 アカウント一覧を取得する 踏み台アカウントの一時認証情報を取得する 「.aws/config」にprofileを追加する スクリプトを実行 今回作成したスクリプト 繰り返し部分の処理 profileの変換 Config有効化の確認 結果をCSVに書き込み profileを元に戻す 今回の環境 今回は、以下のような条件下で確認を行いました。…

目次 目次 はじめに こんな方へおすすめの記事です 前提 試してみた restricted-sshルールの設定 restricted-sshルールとは ルール作成 AWS Systems Manager Automation用IAMロールの作成 AWS Systems Manager Automation用IAMロールがなぜ必要か ポリシー&ロール設定 自動修正設定 自動修正の動作確認 おわりに お知らせ はじめに こんにちは、クラウド事業部の清水(駿)です。 AWS Configの機能で、自動修正について調査・検証を行いました。 セキュリティーグループ(SG)にてSSHの全開放はセキュリティ…

切っ掛けと問題の認識 AWS Config のカウント数の監視 対象外にしたいリソースが見つかったら AWS Config 側で除外する 実際のコスト削減効果 なぜもともとコストが高かったのか まとめ こんにちは、ABEJAの村主です。ABEJAアドベントカレンダー2023の18日目の記事です。今回は、意外にも高額になりがちなAWS Configのコスト削減について、どのように対応したかをご紹介します。特に、AWS Configのコストを大幅に減らすためのアプローチについてお話しします。また、CloudWatch で AWS Config のカウント量を可視化する方法はあまり見かけなかったので…

こんにちは。アプリケーションサービス部の渡辺です。 AWS Config カスタムルールを作成することで、独自のルールで AWS リソースの設定内容を評価することができます。 AWS Config カスタムルールのひとつである AWS Config カスタム Lambda ルールは Lambda 関数を使用してルールを作成することができます。 デプロイの観点 で考えると色々な選択肢が思い浮かびます。 AWS RDK AWS CloudFormation AWS CDK AWS SAM それぞれどのような特徴があり AWS Config カスタムルールをデプロイする際に選択すべきツールはどれが最…

タダです. AWS Config でリソース変更履歴を追跡しないよう除外できるようになりました.これまでは変更を記録するリソースから除外したいリソースを抜いてあげる必要がありましたが,今回のアップデートで明示的に指定すれば除外してくれるようになりました.この記事では AWS Config のアップデートを検証したのでまとめていきます. aws.amazon.com 特定リソースの除外を設定する 東京リージョン以外で実行した場合はどうなるか まとめ 関連記事 特定リソースの除外を設定する ドキュメントに沿って AWS CLI で AWS::EC2::NetworkInterface のみリソース…

タダです. AWS のアカウントで Config のコストが一時期は月間数10ドルほどの課金だったのが膨れ上がって1000ドル以上になったことがあり,さすがに削減を試みることにしました.やってみたことをまとめます. コスト高騰の状況と詳細確認 関連記事 コスト高騰要因の確認~削減で試してみたこと まとめ コスト高騰の状況と詳細確認 AWS Config のコストの高騰の要因は ConfigurationItemRecorded という項目です.東京リージョンで見ると Configuration Item recorded で $0.003 毎にかかっているのですが,これが高騰していました.より…

CTO室の岩本 (iwamot) と申します。AWSで運用している各種リソースを、なるべくベストプラクティスに沿うように最適化していくのが、ぼくのミッションのひとつです。 Security Hubを使うと、セキュリティのベストプラクティスに反しているAWS上のリソースが自動的に検出できます。ENECHANGEでも、先日から運用を始めました。 ただ、上記の検出には、AWS Configの料金が意外とかかります。これは、リソースの設定変更をAWS Configで記録する必要があるためです。 Security Hubは便利だけれど、AWS Configの料金は抑えたい、そんなときに使える小ワザをご紹…

こんにちは、マネックス証券の INSIGHT（投資情報）で開発をしている倉田です。 最近は AI を使ったプロジェクトの開発を担当しており、ネット上に情報がまとまっていなかった Anthropic の Tool use を AWS SDK (Bedrock) を使った実装を Java と Javascript (TypeScript) でご紹介したいと思います。 Tool Use を簡単に説明すると、OpenAI Function Calling の Anthropic 版です。 Function Calling を知らない人向けに下記にて詳しく解説します。 Function Calling …

こんにちはこんばんは！ サーバーワークスの新谷です。 AWSではセキュリティ関連のサービスが多くありますが、構成情報からセキュリティのベストプラクティスに 照らし合わせて評価してくれるツールとして、Security Hub があります。 Hub という名前が付くくらいなので、複数のAWSサービスやサードパーティ製品からセキュリティデータを 収集・統合し、セキュリティの問題を一元的に検出、調査、修復することもできます。 弊社ではAWS関連のブログが多く発信されているのですが、Security Hub の導入手順については 動画のものがあるのみで、少し古いものでした。 blog.serverwor…

こんにちは！イーゴリです。下記の記事の続きになるので、最初に必ず下記の記事をご覧ください。 パート1: セキュアなAWS環境の設計についての解説 blog.serverworks.co.jp パート2: AWS環境のセキュリティ対策についての解説 blog.serverworks.co.jp インターネットの初期の設計時には、セキュリティが最優先されていませんでした。1970年代から1980年代にかけて、インターネットの前身であるARPANETやTCP/IPプロトコルが開発された当初、研究者たちは主に接続性とデータ交換の効率を重視していました。その結果、セキュリティの観点が後回しにされることに…

こんにちは！イーゴリです。 この記事は下記の記事の続きとなりますので、この記事を読む前に必ず下記の記事をご一読ください。 blog.serverworks.co.jp この記事では、AWSのセキュリティサービスを使うことで自分のAWS環境を守る方法を紹介したいと思います。今回は、AWS環境の基本セキュリティサービスを紹介しますが、次の記事では、サイバー攻撃やその対策方法について紹介したいと思います。 リスクの把握 リスクへの対処法の検討 AWS環境の基本セキュリティサービスを有効にする AWS CloudTrail AWS Config Amazon GuardDuty EC2 の Malwa…

自己紹介 エンジニアとしての経験は約25年になります。最初の10年ほどはSIer業界でWindows系や.NET系の開発を専門にしておりましたが、最近15年ほどはWeb業界の自社開発企業界隈でLinux系のバックエンド開発およびクラウドインフラ周りの設計/構築業務に携わっております。 ここ数年はクラウドのインフラエンジニアとしてサービスの新規開発フェーズやインフラのリプレイスフェーズに参画させていただくことが多いです。最近の業務経験に関しては下記のレジュメにまとめておりますのでご参照いただければと思います。 github.com エンジニアとしての抽象的な強みは下記になります。 幅広い知見と経…

実行例 $ aws s3 ls --profile s3_access --debug ... 2024-08-07 05:06:29,995 - MainThread - urllib3.connectionpool - DEBUG - Starting new HTTPS connection (1): bucket.vpce-********-********.s3.ap-northeast-1.vpce.amazonaws.com:443 AWS CLI の設定 ~/.aws/config [profile s3_access] region = ap-northeast-1 role…

事象 オンプレのサーバから AWS CLI で IAM ユーザーのクレデンシャルで認証後、別AWSアカウントの IAM ロールにスイッチロールすると STS の --endpoint_url パラメータの指定が効かず、グローバルエンドポイントやリージョナルエンドポイントにアクセスし、接続タイムアウトする。 オンプレのサーバから AWS へは Direct Connect -> Transit Gateway -> VPC へ接続し、STS や S3 には VPC エンドポイント（Interface型）経由でアクセスしている 。 実行コマンド EC2 から実行した場合、成功する $ aws --…

AWS Systems Manager コンプライアンスは、AWS Systems Managerの機能の一つです。 ステートマネージャーやパッチマネージャーと組み合わせて利用することで、結果を可視化し状況を瞬時に判断することが可能です。これにより、後続対応が早くなり、運用負荷の軽減にもつながります。 本記事では、AWS Systems Manager コンプライアンスの概要について紹介します。 AWS Systems Manager コンプライアンスとは コンプライアンスの確認方法 AWS Configで関連付けのコンプライアンス履歴を追跡 AWS Configのリソース設定 コンプライアン…