omuronの備忘録

個人的な備忘録

「JAWS-UG朝会 #20」 #jawsug_asa 受講メモ

AWS 勉強会

jawsug-asa.connpass.com

すっかり日が昇るのも早くなって、朝会の始まる時間はすでに明るいですね。

セッション

セッション① はじめてのEKS Kubernetes案件　勉強方法

講師：山田 俊一さん @AWSSAP1

  • ざっくりした要件
  • 当時コンテナ知らない状態での依頼
    • コンテナ情報ありすぎでどこから着手すればいい？
    • 強い人に聞く
      • 書籍：入門k8s, k8s 完全ガイド, 図解即戦力
      • EKS WORKSHOPに取り組む
      • Udemy
    • 学習要点を整理して優先度策定
    • ラーニングピラミッドを意識して学習
      • 書籍 -> ハンズオン -> 報告会
    • 1人スクラムでPDCA回す
    • k8s コンポーネントから AWS を構築することで対応する AWS サービスがわかる
  • まとめ
    • ベースの学習は EKS WORKSHOP
    • 体系的な学習は「入門 Kubernetes」
    • AWS で Linux はじめるなら「AWS ではじめる Linux 入門ガイド」

セッション② AWS Control Towerの中身をみる

講師：株式会社ターンアンドフロンティア 富松 広太さん @kotamemento

www.slideshare.net

  • 東京リージョンで Control Tower が使えるようになった
  • Control Tower とは？
    • 複数 AWS アカウントを効率よく管理
  • AWS アカウント管理のベストプラクティス
    • Master Account
    • Core OU : 共通利用する管理アカウント
      • ログやら監査アカウント
      • DirectConnect を各アカウントで引くともったいないから共通アカウントに引く
    • Custom OU : 通常利用
  • Control Tower 適用後
    • Core OU の管理用アカウント（ログ、監査）が生成される
    • 既存カウントは影響なし
      • Custom OU へ移動させる
    • Landing Zone : セキュリティ的にちゃんとした環境
      • COre OU や Custom OU のこと
      • 予防的ガードレール（SCP Organization レベルのIAM で制限）
      • 発見的ガードレール（Config で通知）
  • AWS Organizations
    • 管理集約だけを手軽にできる
    • Control Tower で Config や SCP の権限設定が辛い場合 Organizations を利用
  • まとめ
    • 数クリックでマルチアカウント管理構築可能
    • 便利だけど何が起きるか知ったほうがいいが CFn 読み解くのは大変
      • この資料を参考に
    • Organizations 運用されているから連絡ください

f:id:omron:20210422081012p:plain

LT① お金がいっぱい溶けちゃったはなし

講師：sumiさん @suemin_jp

speakerdeck.com

カールを巻いた姿で登場！

  • JAWS DAYS 2021 の発表の続き
    • 無料で使えるサービスを使ってたら翌月請求が...
    • CloudEndure 利用 -> $8,000
  • 原因と是正策
    • 移行元の Windows Server に CloudEndure のクライアントインストール
      • 7TB で大きいサーバ
      • EC2 大きいのが立ち上がったのでとりあえず止めておいた
      • 同期処理で勝手に起動...
    • 移行元サーバーの容量を見てなかった
    • ドキュメント読まずに作業したので止め方に失敗した
    • 課金に気がつけなかった
      • AWS Budgets で予算を設定するようにした
  • 予算アラート大事
    • コスト管理ツールがたくさんあるので使う
    • AWS は従量課金

LT② AWS Transfer Familyを触ってみた！

講師： ハンズラボ 中川 皓紘さん

  • AWS Transfer Family ってなに？
    • SFTP, FTP, FTPS でファイル転送できるマネージドサービス
      • S3, EFS へ転送
    • メリット
      • EC2 に SFTP を建てるのと違い管理不要
      • 自動スケール、セキュリティ設定
    • デメリット
      • 料金が高い
      • 起動しておくだけで $216
  • ユースケース
    • データ連携で SFTP を使いたい
    • ルートフォルダ以外にアクセスさせない
    • 顧客ごとで IP 制限をしたい場合（Lambdaと連携必要）
  • まとめ
    • SFTP サーバーの面倒を見たくない人向け
    • お金ある人用

LT③ CloudTrail の証跡から IAM ポリシーを生成する IAM Access Analyzer の機能を AWS CLI から使ってみた話

講師： 弁護士ドットコム株式会社 伊藤 嘉洋さん @michimani210

speakerdeck.com

  • IAM Access Analyzer の新機能
    • CloudTrail の証跡から IAM ポリシーを生成する機能
      • 実際のリクエストに基づいた IAM ポリシーを生成
        • JSON 形式のポリシードキュメントができる
      • 解析期間は最大90日
  • aws accessanalyzer コマンド
    • start-policy-generation から開始する
      • 解析対象の CloudTrail ARN が必要
      • ジョブ用の IAM ロール ARN（CloudTrail やら S3への権限必要）
    • get-generated-plicy で生成されたポリシードキュメントができる
  • まとめ
    • CloudTaril の証跡から自動でポリシー生成
    • AWS CLI いいぞ
    • ブログ も参考に

所感

朝から目が覚める話をたくさん聞けました。
Control Tower は挑戦するのも難しそう。 $8,000 請求は辛い。
AWS CLI はほんと便利ですね。