type
status
date
slug
summary
tags
category
icon
password
书籍
理論
AWSでのインフラ管理に関する重要ポイント
AWSで大規模な企業がインフラを管理する際、セキュリティ、集中管理、効率性が重要です。以下に汎用的な知識をまとめます。
1. 最小特権アクセスの実現
- IAMポリシー: 必要最低限の権限をIAMユーザーやロールに付与する。
- Service Control Policies (SCP): AWS OrganizationsでSCPを使用し、特定のサービスやアクションを制限する。
2. インフラテンプレートの集中管理
- AWS CloudFormation:
- インフラをコード（IaC）として記述し、再利用可能なテンプレートを作成。
- 一貫性と自動化を向上させる。
- AWS Service Catalog:
- CloudFormationテンプレートを製品として管理。
- 組織全体で標準化されたテンプレートを配布可能。
3. マルチアカウント構成の管理
- AWS Organizations:
- 複数のAWSアカウントを一元管理。
- ポートフォリオやポリシーを各アカウントに共有可能。
4. タグ付けの強制
- AWS Service Catalog TagOption Library:
- 組織で必要なタグを定義し、製品やポートフォリオに適用。
- 例: コストセンターや環境（
Environment=Production）を指定。
- CloudFormationのResource Tags:
- テンプレートにタグを明示的に記述することで、リソース作成時に自動適用。
5. 自動化による効率向上
- スクリプトと自動化:
- AWS CLIやAWS SDKを使用してポートフォリオやTagOptionのインポートを自動化。
- 運用の手間を削減。
まとめ: 効率的なAWSインフラ管理
- 最小特権アクセス: IAMポリシーとSCPを適切に設計。
- 集中管理: Service Catalogを活用してテンプレートを一元化。
- タグ付け: TagOption Libraryでコスト管理や監査を強化。
- 自動化: スクリプトで反復作業を軽減し、スケーラブルな管理を実現。
この知識を活用することで、セキュリティと効率性を保ちながら、AWSリソースの運用を最適化できます。
実践
略
一問道場
質問 #386
あるエンタープライズ企業が、ユーザー向けのインフラサービスプラットフォームを構築しようとしています。この企業には以下の要件があります：
- ユーザーがAWSインフラを起動する際に、最小特権アクセスを提供し、承認されていないサービスをプロビジョニングできないようにする。
- インフラサービスの作成を管理するための中央アカウントを使用する。
- AWS Organizations内の複数アカウントにインフラサービスを配布できるようにする。
- ユーザーが開始するすべてのインフラにタグを適用することを強制できるようにする。
これらの要件を満たすためにAWSサービスを使用して実行するアクションの組み合わせはどれですか？（3つ選択してください）
A. AWS CloudFormationテンプレートを使用してインフラサービスを開発する。テンプレートを中央のAmazon S3バケットに追加し、S3バケットポリシーでアクセス権を必要とするIAMロールやユーザーを追加する。
B. AWS CloudFormationテンプレートを使用してインフラサービスを開発する。各テンプレートをAWS Service Catalogの製品として中央AWSアカウント内のポートフォリオにアップロードする。このポートフォリオを会社のOrganizations構造と共有する。
C. ユーザーIAMロールにAWSCloudFormationFullAccessとAmazonS3ReadOnlyAccessの権限を付与する。Organizations SCPをAWSアカウントのルートユーザーレベルで追加し、AWS CloudFormationとAmazon S3以外のすべてのサービスを拒否する。
D. ユーザーIAMロールにServiceCatalogEndUserAccess権限のみを付与する。自動化スクリプトを使用して中央ポートフォリオをローカルAWSアカウントにインポートし、TagOptionをコピーして、ユーザーアクセスを割り当て、起動制約を適用する。
E. AWS Service Catalog TagOption Libraryを使用して、会社で必要なタグのリストを管理する。TagOptionをAWS Service Catalogの製品やポートフォリオに適用する。
F. AWS CloudFormation Resource Tagsプロパティを使用して、ユーザー向けに作成されるすべてのCloudFormationテンプレートにタグの適用を強制する。
解説
要件に対する考察
- 最小特権アクセスの提供：
- ユーザーが承認されていないサービスをプロビジョニングできないようにする必要があります。
- この要件を満たすには、特定のサービスにアクセスを限定する仕組み（IAMポリシーやSCPの活用）が必要です。
- 中央アカウントでの管理：
- インフラサービスの作成や配布は、中央アカウントで管理されなければなりません。
- AWS Service Catalogなどの集中管理ツールが役立ちます。
- 複数アカウントへの配布：
- AWS Organizationsを活用して複数アカウントにサービスを共有する必要があります。
- タグの強制適用：
- 作成されるインフラにタグ付けを義務付ける仕組みが必要です。
- AWS Service CatalogやCloudFormationのタグプロパティを利用できます。
選択肢ごとの分析
A.
- 内容: CloudFormationテンプレートを中央S3バケットに保存し、IAMロールやユーザーをS3バケットポリシーで管理する。
- メリット: インフラテンプレートを中央管理できる。
- 不足点: タグの強制や最小特権アクセス、Organizationsの連携が考慮されていない。
- 評価: 不適切
B.
- 内容: CloudFormationテンプレートをService Catalog製品として中央アカウントにアップロードし、Organizations構造と共有する。
- メリット: Service Catalogを利用して、中央管理と複数アカウントへの配布が可能。
- 評価: 適切
C.
- 内容: ユーザーにCloudFormationとS3のアクセス権を与え、SCPで他のサービスを制限する。
- メリット: 最小特権アクセスを提供可能。
- 不足点: タグの強制適用が考慮されていない。管理の中央化やService Catalogの活用がない。
- 評価: 不適切
D.
- 内容: Service Catalogのエンドユーザー権限を付与し、自動化スクリプトでポートフォリオをインポートし、TagOptionや起動制約を適用する。
- メリット: Service Catalogを活用し、タグ付けや起動制約が可能。自動化により管理負荷が軽減。
- 評価: 適切
E.
- 内容: Service Catalog TagOption Libraryで必要なタグを管理し、製品やポートフォリオに適用する。
- メリット: 必要なタグの一貫性を保証。Service Catalogと連携。
- 評価: 適切
F.
- 内容: CloudFormationのResource Tagsプロパティでタグ適用を強制する。
- メリット: CloudFormationテンプレート単位でタグ付けが可能。
- 不足点: Service Catalogのような中央管理や複数アカウントの配布が考慮されていない。
- 評価: 不適切
正解
B, D, E
これらの組み合わせで、以下の要件を満たします：
- 中央管理: Service Catalogでテンプレートを中央管理（B）。
- 最小特権アクセス: Service Catalogのエンドユーザー権限（D）。
- タグ強制: TagOption Libraryを使用したタグ管理（E）。
- 複数アカウント配布: Service Catalogのポートフォリオ共有（B）。
- 作者:みなみ
- 链接:https://www.minami.ac.cn//%E8%B3%87%E6%A0%BC%E5%8B%89%E5%BC%B7/179d7ae8-88e2-8057-af2f-ff191eae84fb
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
相关文章
