Cloud/AWS

#amazon(4822262960) #amazon(4822211983)

#adsense(728x90)

クラウド†[edit]

• オンプレミス
  • IT リソースを自社で保有・管理する
• クラウド
  • IT リソースをネットワーク経由でオンデマンドで利用する

AWS [Amazon Web Services]†[edit]

• Amazon のクラウド サービス

リージョン†[edit]

• AWS ではデータセンタの場所は非公開
• 大まかな地域を選択することが出来る
  • US East (Northern Virginia) Region
  • US West (Northern California) Region
  • US West (Oregon) Region
  • EU (Ireland) Region
  • Asia Pacific (Singapore) Region
  • Asia Pacific (Sydney) Region
  • Asia Pacific (Tokyo) Region
  • South America (Sao Paulo) Region

Tokyo Region†[edit]

• 全て Equinix DC
  • TY1 (大田区平和島: 海抜 6m)
  • TY2 (品川区東品川: 海抜 3m)
  • TY3 (江東区枝川: 海抜 1m)
  • TY4 (千代田区大手町: 海抜 6m)
• AWS Direct Connect の接続先は TY2 となっている

Availability Zone†[edit]

• リージョンは複数の AZ から構成される
• 異なる AZ は物理的に分離されており、障害が双方に及ぶことがないよう設計されている
• 同一リージョンの AZ 間は専用回線で接続される

インターフェース†[edit]

• AWS マネジメント コンソール
• AWS CLI
• AWS SDK
  • 裏ではすべて API を呼び出している。
  • すべての操作は AWS CloudTrail に記録される。

エッジロケーション†[edit]

• リージョンを構成するデータセンター以外に、コンテンツ配信等を目的に用意されるデータセンター。
• CloudFront、Route 53、AWS Shield などで利用される。
• CloudFront の場合、コンテンツのキャッシュをエッジ ロケーションに置くことで、低遅延を実現している。

料金体系†[edit]

• 時間課金のサービスの一部は複数の料金体系が選択可能。
• 料金体系の変更なので、システム的な影響は無い。

• オンデマンド インスタンス
  • 通常契約。
  • 時間課金のインスタンス。
  • 時期や時間帯で増減するリソースに最適。
• リザーブド インスタンス (RI)
  • 長期契約割引。
  • 1 年、もしくは 3 年使用権を予約する。
  • 最大で約 75% の割り引きとなる。
  • 長期に渡り利用が確実なリソースに最適。
  • 全額前払い、一部前払い (約半額)、前払いなしが可能。(割引率は変わる。)
• スポット インスタンス
  • 入札式で使用権を得るインスタンス。
  • 他のユーザーがより高価格で入札した場合は途中でも使用権が奪われる。 昔話
  • 時間課金のインスタンス。
  • 価格は随時調整され、インスタンス作成時に上限価格を設定する。(上限を上回った場合、インスタンスは停止される。)
  • 最大で約 90% の割り引きとなる。
  • AWS の空きリソース (スポットプール) から提供される。
  • 空きリソースが減少すると、強制終了される可能性がある。(2 分の猶予時間あり。)
  • バッチ処理などオンライン サービスに影響のないリソースに最適。
  • 使用時間の予約もできる。(割引率は変わる。)
• Compute Savings Plan
  • 長期契約割引枠。(1 年 or 3 年)
  • 毎時使用するであろうコスト枠を購入し、割引を適用する。
  • コスト枠の範囲で様々なインスタンスを組み合わせることが可能。
  • EC2 以外にも Lamda や Fargate でも使える。

AWS設計のベストプラクティス†[edit]

1. スケーラビリティを確保する
   • Auto Scaling による自働スケールアウト。
2. 環境を⾃動化する
3. 使い捨て可能なリソースを使⽤する
4. コンポーネントを疎結合にする
   • システム間の連携に ELB や SQS を使う。
5. サーバーではなくサービスで設計する
6. 適切なデータベースソリューションを選択する
7. 単⼀障害点を排除する
8. コストを最適化する
9. キャッシュを使⽤する
10. すべてのレイヤーでセキュリティを確保する
11. 増加するデータの管理

AWS Well-Architected Framework†[edit]

1. 運用上の優秀性
   • 運用をコードとして実行する
   • 小規模かつ可逆的な変更を頻繁に行う
   • 運用手順を頻繁に改善する
   • 障害を予想する
   • 運用上の障害すべてから学ぶ
2. セキュリティ
   • 強力なアイデンティティ基盤を実装する
   • トレーサビリティの実現
   • 全レイヤーでセキュリティを適用する
   • セキュリティのベストプラクティスを自動化する
   • 伝送中および保管中のデータを保護する
   • データに人の手を入れない
3. 信頼性
   • セキュリティイベントに備える
   • 障害から自動的に復旧する
   • 復旧手順をテストする
   • 水平方向にスケールしてワークロード全体の可用性を高める
   • キャパシティーを推測することをやめる
   • オートメーションで変更を管理する
4. パフォーマンス効率
   • 最新テクノロジーを誰もが利用できるようにする
   • わずか数分でグローバル展開する
   • サーバーレスアーキテクチャを使用する
   • より頻繁に実験する
   • メカニカルシンパシーを重視する
5. コスト最適化
   • クラウド財務管理を実装する
   • 消費モデルを導入する
   • 全体的な効率を測定する
   • 差別化につながらない高負荷の作業に費用をかけるのをやめる
   • 費用を分析し帰属関係を明らかにする
6. サステナビリティ
   • 影響を理解する
   • 持続可能性の目標を設定する
   • 使用率を最大化する
   • より効率的なハードウェアやソフトウェアの新製品を予測して採用する
   • マネージドサービスを使用する
   • クラウドワークロードのダウンストリームの影響を軽減する

責任共有モデル†[edit]

• クラウド自体のセキュリティに対する責任は Amazon にある。
  • データセンター (リージョン、AZ、エッジロケーション)
  • ハードウェア、ネットワーク、仮想化基盤
  • プラットフォームとしてのソフトウェア
• クラウド内のセキュリティに対する責任はユーザーにある。
  • OS 内の構成
  • プラットフォームのアクセス権
  • データ

コンピューティング†[edit]

仮想サーバ†[edit]

Amazon EC2 [Elastic Compute Cloud]†[edit]

• 仮想サーバ

• EC2-Classic
  • 従来型の EC2 インスタンス
  • 2013/12/4 以降に作成されたアカウントでは利用できない
• EC2-VPC
  • 新型の EC2 インスタンス
  • EC2-Classic よりも高度なネットワーク機能が利用できる
  • インスタンスタイプ

    ファミリー	世代	.	サイズ
    t	3	.	large

• IP アドレス
  • EC2 インスタンスが起動するとプライベート IP アドレスと、パブリック IP アドレスが割り当てられる
  • プライベート IP アドレス
    • VPC のサブネットから DHCP でアサインされる
  • パブリック IP アドレス
    • 所謂グローバル IP アドレスで、プライベート IP アドレスとの NAT という形でアサインされる
    • (VPC の設定次第でプライベート IP アドレスのみにすることも可能)
    • 永続的ではないため、インバウンド通信には事実上利用できない
    • 永続的に使用したい場合は、Elastic IP を使用する必要がある
• Auto Scaling
  • スケールアウト、スケールインを自動で行う機能。
  • スケーリングポリシーを予め設定する。(最小台数、最大台数、発動する CPU 使用率など。)
  • ELB に組み込む場合、バランシング先は Auto Scaling グループを設定する。

コンテナ†[edit]

1. コントロール プレーン
   • Amazon ECS
   • Amazon EKS
2. データ プレーン
   • Amazon EC2
   • AWS Fargate
3. レジストリ
   • Amazon ECR

Amazon ECS [Elastic Container Service]†[edit]

• EC2、Fargate 上に Docker コンテナ アプリを利用するサービス
• 昔は EC2 Container Service だったが、Fargate のリリースで名称が変更された？

Amazon EKS [Elastic Container Service for Kubernetes]†[edit]

• EC2、Fargate 上に Docker コンテナ アプリを利用するサービス
• Kubernetes の管理はユーザーが行う

AWS Fargate†[edit]

• コンテナの実行環境。
• ECS, EKS と連携して使用する。
• EC2 の代わりにに使う。

Amazon ECR [Elastic Container Registry]†[edit]

• コンテナの起動元イメージの置き場所

サーバレス†[edit]

AWS Lambda†[edit]

• コンピューティング リソースを提供するサービス。
• サーバレス アーキテクチャを実現する。
• トリガされた場合にコードが実行される。
• Node.js, Java, C#, Go, Python
• EC2 は起動時間に応じた課金だが、Lamba はコード実行時間に応じた課金。

ストレージ†[edit]

インスタンス ストア†[edit]

• 物理サーバの内蔵ディスクから提供される。
• EC2 は別の物理サーバで起動される可能性があるため、EC2 インスタンスを停止するとデータ消える。
• 現在の主流は EBS だが、一部のインスタンスタイプでは使用することができる。

Amazon EBS [Elastic Block Store]†[edit]

• EC2 のデータストア
• EC2 の仮想サーバに対してブロック デバイスを提供する
• 容量、IOPS の指定が可能
• EBS は Elastic なので、別の EC2 インスタンスに付け替える事も出来る

Amazon S3 [Simple Storage Service]†[edit]

• オブジェクト ストレージ
• REST API でアクセスする
• Storage Gateway を契約することで、CIFS/NFS で使用することも出来る

• S3 を扱うためのサードパーティ製ソフトウェアが多数存在する
  • s3fs … ディスクとしてマウント出来る (Linux)
  • jetS3t
  • Cyberduck … FTP サーバのように使える (Windows/Mac)

Amazon Glacier†[edit]

• 長期保管用、バックアップ用の低価格ストレージ
• いまは Amazon S3 Glacier として、S3 のストレージ クラスの一部になっている
• 0.01$/GB + 転送量課金

Amazon EFS [Elastic File System]†[edit]

• NFS ストレージのフル マネージド サービス。
• 実体は VPC の外にあるが、サブネット内に ENI (マウント ターゲット) を作りそこからアクセスする。
• 0.36$/GB (標準ストレージ)

Amazon FSx†[edit]

• ファイル サーバのフル マネージド サービス。
• 複数のファイル システムが選択できる。

• Amazon FSx for NetApp ONTAP
  • SMB、NFS、iSCSI でアクセス可能。
• Amazon FSx for OpenZFS
  • NFS でアクセス可能。
• Amazon FSx for Windows File Server
  • SMB でアクセス可能。
• Amazon FSx for Lustre
  • 独自プロトコルでアクセス可能。

AWS Storage Gateway†[edit]

データベース†[edit]

Amazon RDS [Relational Database Service]†[edit]

• RDBMS のフル マネージド サービス。
• DB 用の仮想マシンに各種 RDBMS を展開できる
• 自動バックアップ、スナップショット、プロビジョンド IOPS (性能保証型ストレージ) などが利用可能
  • Amazon RDS for MySQL
  • Amazon RDS for MariaDB
  • Amazon RDS for PostgreSQL
  • Amazon RDS for Oracle Database
  • Amazon RDS for SQL Server
  • Amazon Aurora MySQL 互換エディション
  • Amazon Aurora PostgreSQL 互換エディション

• RDS
  • Amazon が管理する EC2, EBS にインストールされるため、インフラ構成は自前で構築する場合と同じ
• Aurora
  • EC2 も利用可能だが、Serverless にすることも可能
  • ストレージは EC2 インスタンスから独立しており、10GB ごとに Protection Group に分けれれ、3AZ／6 Volume にレプリケーションされる
  • Global Database によりストレージ レイヤでマルチ リージョンでのレプリケーションが可能
  • (互換性のある) バージョンの選択肢は RDS より少ない
  • リクエスト数課金があり、RDS より 2 割程度高くなる
  • Single AZ でもストレージはレプリケーションされるため 10 分程度で復旧可能

Amazon DynamoDB†[edit]

• NoSQL のフル マネージド サービス。
• MongoDB との互換性はない。(DMS での移行は可能)

Amazon DocumentDB†[edit]

• NoSQL のマネージド サービス。
• MongoDB との互換性が高い。

Amazon ElastiCache†[edit]

• 分散メモリキャッシュ
• Memcached
• Redis

Amazon Redshift†[edit]

• DWH のフル マネージド サービス。
• SQL が使用できる。
• ParAccel の DWH ソフトウェアを利用している。

AWS DMS [Database Migration Service]†[edit]

• データベースの移行サービス。
• 異なるデータベース エンジン間の移行にも対応している。

認証／認可†[edit]

AWS IAM [Identity and Access Management]†[edit]

• AWS リソースへのアクセスを管理するためのサービス
• AWS アカウントの認証／認可を行う。

Amazon Cognito (IDaaS)†[edit]

• Web アプリケーションやモバイル アプリケーションなどの SP (Service Provider) に対して、認証機能を提供するサービス。

• Cognito User Pool
  • ID、パスワードを管理するサービス。
  • 認証 (Authenticaion) を行う。
  • サインアップやパスワード リマインダー、多要素認証の機能も持つ。
  • サードパーティのIdP (Identity Provider) を使用することもできる。

• Cognito Identity Pool
  • 認可 (Authorization) を与える。
  • サードパーティのIdP (Identity Provider) を使用することもできる。

AWS Directory Service†[edit]

• AD Connector
  • オンプレミスの AD と連携するサービス。
• Simple AD
  • 小規模 (最大 5,000 ユーザー) 向けのサービス。
  • Samba 4 Active Directory Compatible Server で提供される。
• AWS Managed Microsoft AD
  • フルスペックの AD 機能が提供される。
  • オンプレミスの AD と信頼関係を結ぶこともできる。

AWS Organizations†[edit]

• 企業内の AWS のアカウントを一元管理するサービス。
• AWS アカウントをグループ化し、グループごとにポリシーを設定する。
• 一つの管理アカウントで、複数のメンバーアカウントを管理する。
• 請求も管理アカウントでまとめて受けることができる、

AWS IAM Identity Center†[edit]

• AWS Organizations 上のアカウントに対して、シングルサインオンを実現する。
• サードパーティのIdP (Identity Provider) を使用することもできる。
• 2022 年まで Amazon SSO という名称だった。

CI/CD†[edit]

AWS CodeCommit†[edit]

AWS CodeBuild†[edit]

AWS CodeDeploy†[edit]

PaaS†[edit]

Amazon API Gateway†[edit]

• API のフル マネージド サービス。
• RESTful API、WebSocket API の作成が可能。
• AWS WAF のアタッチが可能。

Amazon EMR [Elastic MapReduce]†[edit]

• Hadoop
• EC2 上に MapReduce の分散処理を実装できる
• ベースとなる EC2 の料金と EMR の料金が課金される
• データは S3 に保存する

SxS†[edit]

Amazon SNS [Simple Notification Service]†[edit]

• Push/Sub メッセージング サービス

Amazon SQS [Simple Queue Service]†[edit]

• メッセージキューのフル マネージド サービス。

Amazon SES [Simple Email Service]†[edit]

• メール配信のフル マネージド サービス。

SaaS†[edit]

Amazon Route 53†[edit]

• DNS のフル マネージド サービス。
• ELB、S3 にマッピングされた エイリアス A レコードの場合は無料
• DNS フェイルオーバー
• Route 53 Resolver DNS Firewall

Amazon Time Sync Service†[edit]

• NTP

Amazon Connect†[edit]

• 自動応答のコールセンター
• 予めフローを定義し、文章は Amazon Polly が読み上げる
• Salesforce などとの連携も可能
• 発着信数、通話時間への課金

Amazon CloudFront†[edit]

• CDN
• 独自 SSL、動的コンテンツをサポート
• POST、PUT などの HTTP メソッド利用可能
• Geo Restriction
• カスタム ヘッダから PC/SP/Tablet を判別可能
• 世界中に低遅延で配信することができる。
• AWS WAF のアタッチが可能。

AWS CloudWatch†[edit]

• 監視サービス。
• 収集したメトリックを元に、アクションを起こす。

• 標準メトリクス
  • CPU 使用率
• カスタム メトリクス
  • メモリ使用率
• CloudWatch Logs
  • ログ

AWS CloudTrail†[edit]

• 監査目的のサービス。
• API のログを蓄積することで、AWS に対するあらゆる操作を記録する。

AWS Trusted Advisor†[edit]

• 5 つの観点でアドバイスをくれる。
  1. コスト最適化
  2. パフォーマンス
  3. セキュリティ
  4. フォールトトレランス (耐障害性)
  5. サービスの制限

AWS IAM [Identity and Access Management]†[edit]

• ルート ユーザー
• IAM ユーザー

ネットワーク†[edit]

VPC [Virtual Private Cloud]†[edit]

• AWS 上に定義する仮想のデータセンター
• 通常、一番最初に設定するが、デフォルトの VPC も存在する
• VPC の中に Subnet を作り、その中に EC2 インスタンスを作る
• 複数の AZ にまたがって定義することが出来る
• 作成時にネットワーク アドレスを設定する (/16～/28、作成後は変更不可)
• ユーザ拠点と IPsec によるインターネット VPN 接続することもできる

Subnet†[edit]

• VPC 内に作成する
• 作成時にAZ とネットワーク アドレスを指定する (～/28)
  • ネットワーク アドレス +1 は VPC ルータ、+2 は Amazon DNS、+3 は予約アドレス
  • ネットワーク アドレス +4 以降が利用できる
• ネットワーク ACL を設定できる

Internet Gateway†[edit]

• VPC からインターネットへの出口
• Internet Gateway を作成し、VPC にアタッチする

VPC ルータ†[edit]

• 全てのサブネットは仮想ルータにより接続され、ルーティングされる
• 通常、ユーザーが意識することはない

Route Table†[edit]

• VPC ルータのルーティング テーブル
• サブネット単位で作成される

ENI [Elastic Network Interface]†[edit]

• EC2 に割り当てられるネットワーク インターフェース
• デフォルトで 1 つの ENI が割り当てられ、そこにプライベート IP アドレスが割り当てられる
• ENI を増やすことで、複数のネットワーク インターフェースを持たせることが出来る
• ENI は Elastic なので、別の EC2 インスタンスに付け替える事も出来る
  • 仮想 IP アドレスのような利用方法もある (Floating IP)
• セキュリティ グループの設定が可能

EIP [Elastic IP]†[edit]

• EC2 で利用するグローバル IP アドレス
• ENI に紐付けられる
• 固定的に割り当てることが可能
• 割り当てだけ行って、EC2 インスタンスに関連付けないと課金される

ロードバランサ†[edit]

ELB [Elastic Load Balancing]†[edit]

• L4 の仮想ロードバランサ
• 複数の EC2 インスタンスにトラフィックを分散させる

ALB [Application Load Balancer]†[edit]

• L7 の仮想ロードバランサ
• AWS WAF のアタッチが可能。

仮想プライベート ゲートウェイ†[edit]

• オンプレミスと AWS をインターネット VPN で接続する。
• サイト間 VPN 接続。

AWS Direct Connect†[edit]

• オンプレミスと AWS を専用線で接続する。
• ユーザ拠点と専用線で接続することにより、インターネットを介さず AWS への接続が可能になる。
• ユーザのルータを AWS Direct Connect ロケーションに設置し、AWS Direct Connect エンドポイントと接続する。
• AWS Direct Connect エンドポイントは仮想プライベートゲートウェイに接続する。
• パートナー サービスを使うことで、ルータを用意することなく AWS Direct Connect を利用することもできる。

ネットワーク セキュリティ†[edit]

AWS Shield†[edit]

• DDoS 攻撃対策のフルマネージドサービス。

• Standard (無料)
  • ELB、CloudFront、Route 53などに自動で適用されている。
• Advanced (有料)
  • ELB、CloudFront、Route 53、Global Accelerator、Elastic IP を指定して適用する。
  • 24h365d のサポートを受けることができる。

AWS WAF [Web Application Firewall]†[edit]

• Web Application Firewall のフルマネージドサービス。
• CloudFront、ALB、API Gateway に接続する。

• Managed Rule
  • Core rule set (無料)
    • OWASP [Open Worldwide Application Security Project] Top 10 など、一般的な攻撃から保護するためのルール。
  • Admin protection (無料)
    • 管理ページへの攻撃から保護するためのルール。
  • Amazon IP reputation list (無料)
    • AWS が収集した脅威 IP アドレスからの攻撃を保護するためのルール。
  • Bot Control (有料)
    • 悪意のある Bot からの攻撃を保護するためのルール。
  • サードパーティの Managed Rule
    • F5、Imperva、Fortinet などが AWS Marketplace で販売するルールを使用することもできる。
• My Own Rules
  • ユーザー自身がポリシーを作成して適用することができる。

ファイアウォール†[edit]

ネットワーク ACL†[edit]

• サブネットに設定する。
• デフォルトではインバウンド、アウトバウンドともに全許可。
• ステートレスであるため、逆方向のルールも定義する必要がある。
• ブラックリスト方式

セキュリティ グループ†[edit]

• ENI に設定する。
• 仮想サーバ単位で利用可能なファイアウォールのようなもの。
• インバウンド/アウトバウンドの通信ポリシーを設定できる。
• ステートフルであるため、戻りの通信は意識する必要はない。
• 通信ポリシーは許可のみが設定できるホワイトリスト方式。(拒否は設定できない)
• デフォルトではインバウンドは全拒否 (= 未設定)、アウトバウンドは全許可。
• 設定は即時反映だが、すでに確立したセッションには影響はない。

AWS Network Firewall†[edit]

• Firewall のフルマネージドサービス。
• 専用のサブネットにエンドポイントをデプロイし、Internet Gateway からの Inbound 通信の宛先に設定する。
• 複数 AZ のサブネットにエンドポイントをデプロイすることもできる。

AWS Firewall Manager†[edit]

• 複数アカウントの Firewall を一元管理するサービス。
• AWS Shield Advanced、AWS WAF、セキュリティ グループ、AWS Network Firewall、Amazon Route 53 Resolver DNS Firewall、及びサードパーティの Firewall に対応している。
• AWS Organizations に参加し、AWS Configを有効にする必要がある。

AWS GuardDuty†[edit]

• 脅威検知サービス。
• 機械学習を使用して脅威リスクを検知する。

AWS Certificate Manager†[edit]

• SSL/TLS 証明書の管理サービス
• 証明書の取得、ELB / CloudFront などへのプロビジョニングが可能
• 基本は無料だが、プライベート CA を使う場合は有料

コンプライアンス†[edit]

AWS Artifact†[edit]

• Artiface Agreements
  • AWS アカウントで締結した契約を管理する。
  • 契約内容を一元的に管理できる。
• Artifact Reports
  • AWS のコンプライアンス レポートを取得するサービス。
  • SOC、PCI DSS、ISMS などのレポートを取得することができる。

AWS Audit Manager†[edit]

• AWS に対する監査を自動で行い、監査レポートを作成するサービス。
• CIS Benchmark、GDPR、PCI DSS などのフレームワークに対応している。
• 一時的ではなく、持続的な監視が可能。

AWS Security Hub†[edit]

• 複数の AWS アカウントのセキュリティ評価、アラート通知を自動で行うサービス。
• Amazon Inspector、Amazon Guard Duty、AWS Firewall Manager などに対応している。

Amazon Inspector†[edit]

• セキュリティ評価サービス
• ソフトウェアの脆弱性や、ネットワーク設定の不備を検査する。
• EC2 を評価する場合、Inspector エージェントをインストールする必要がある。

コスト管理†[edit]

AWS Cost Explorer†[edit]

AWS Budgets†[edit]

• 費用のしきい値を設定し、超えた場合にアラートを上げる。

その他†[edit]

AWS CloudFormation†[edit]

• IaC (Infrastructure as a Code) のサービス。
• JSON や YAML 形式で作成されたテンプレートで AWS リソースを作成・設定する。

AWS Outposts†[edit]

• オンプレミスにAWSサービスを展開する。

#adsense(728x90)

Menu

+ Operating System
　- Linux
　- FreeBSD
　- Solaris
　- Windows
　- Macintosh
　- Virtualization
+ Middleware
　- High Availability
　- Web
　- Mail
　- Database
　- FileTransfer
　- Management
　- Other Software
　- Library
　- Tool
+ Application
+ Network
+ Storage
+ Cloud
+ Protocol
+ Program
+ Others

AND検索 OR検索  

#amazon(B01NBDY5L2)

最新の10件

#amazon(4774185787)

Advertisement

#adsense(120x600)

Counter

Today: 1
Yesterday: 0
Total: 5939

MenuEdit