399-AWS SAP AWS 「理論・実践・一問道場」bridge モード

type

status

date

slug

summary

理論

1. ECSタスクのネットワークモード

AWS ECSでコンテナを実行する際、ネットワーク設定には主に以下の3つのモードがあります：

bridge モード:

ECSタスクがホストEC2インスタンスのネットワークスタックを使用します。
各タスクが同じIPアドレスを共有し、ポート番号を変更して通信を行います。
セキュリティグループはタスクに直接適用されず、ホストEC2インスタンスに適用されるため、個別のネットワークアクセス制御には不向きです。

host モード:

ECSタスクがホストEC2インスタンスのIPアドレスをそのまま使用し、タスクのIPアドレスがホストインスタンスと共有されます。
bridgeモードよりも効率的ですが、個別にセキュリティグループを適用することができません。

awsvpc モード:

各ECSタスクに独立したElastic Network Interface (ENI) が割り当てられ、タスクごとに固有のIPアドレスを持つことになります。
このモードを使用すると、タスクごとにセキュリティグループを設定でき、より詳細なネットワークアクセス制御が可能です。最小権限の原則に従う上で推奨されます。

2. IAMロールの使用

IAMロールを使用することで、AWSリソースに対するアクセス権限を管理できます。特にECSでは、タスクごとにIAMロールを付与することができます。これにより、タスクが必要なリソースにのみアクセスできるようにし、セキュリティを強化します。

タスク用のIAMロール:

ECSタスクには、AWSサービスやリソースにアクセスするためのIAMロールを付与することができます。
このロールを使用することで、タスクが必要なリソース（例：S3バケット、DynamoDB、SQSなど）へのアクセスを、最小権限で管理できます。

3. セキュリティグループの管理

AWSでは、セキュリティグループを使用してインスタンスやタスクのネットワークアクセスを管理します。ECSでawsvpcネットワークモードを使用すると、個々のタスクにセキュリティグループを適用でき、タスク間のアクセスを詳細に制御することができます。

最小権限の原則:

各タスクやサービスには、アクセスを必要とするリソースに対してのみ権限を与えることが推奨されます。これにより、セキュリティリスクを減らし、攻撃があった場合でも影響を最小化できます。

4. コンテナ化アーキテクチャのセキュリティベストプラクティス

コンテナ化されたマイクロサービスアーキテクチャにおけるセキュリティベストプラクティスには、以下が含まれます：

最小権限の原則の適用:

IAMロールやセキュリティグループを利用して、コンテナやタスクに最小限のアクセス権限を与えます。

タスクの分離:

タスクごとに独立したIPアドレスを持たせ、必要なリソースへのアクセスを管理します。

暗号化と通信の保護:

データの暗号化や、コンテナ間の通信の保護を行い、セキュアなアーキテクチャを構築します。

これらのベストプラクティスを組み合わせることで、コンテナ化されたアーキテクチャのセキュリティが強化されます。ECSを使ったアプリケーションの設計時には、これらのセキュリティ対策を考慮してアーキテクチャを構築することが非常に重要です。

実践

略

一問道場

質問 #399

トピック 1

ある企業が、ウェブサイトをオンプレミスのデータセンターからAWSに移行したいと考えています。同時に、ウェブサイトをコンテナ化されたマイクロサービスアーキテクチャに移行し、可用性とコスト効率を改善したいと考えています。この企業のセキュリティポリシーでは、特権とネットワークのアクセス許可は、最小権限の原則に従って設定する必要があります。

ソリューションアーキテクトは、セキュリティ要件を満たすコンテナ化されたアーキテクチャを作成し、アプリケーションをAmazon ECSクラスターにデプロイしました。

デプロイ後、要件を満たすためにはどの手順が必要ですか？（2つ選んでください。）

A. ブリッジネットワークモードを使用してタスクを作成する。

B. awsvpcネットワークモードを使用してタスクを作成する。

C. Amazon EC2インスタンスにセキュリティグループを適用し、EC2インスタンスが他のリソースにアクセスするためのIAMロールを使用する。

D. タスクにセキュリティグループを適用し、コンテナ起動時に他のリソースにアクセスするためのIAM認証情報をコンテナに渡す。

E. タスクにセキュリティグループを適用し、タスクが他のリソースにアクセスするためのIAMロールを使用する。

解説

この問題に関して、セキュリティとアクセス管理のベストプラクティスに基づいて、Amazon ECSを使用したコンテナ化されたアーキテクチャに対して、最小権限の原則とセキュリティ要件を満たすために必要な手順を選択することが求められています。

正解の選択肢

B. awsvpcネットワークモードを使用してタスクを作成する。

E. タスクにセキュリティグループを適用し、タスクが他のリソースにアクセスするためのIAMロールを使用する。

解説

B. awsvpcネットワークモードを使用してタスクを作成する。

awsvpcネットワークモードは、Amazon ECSタスクが独自のElastic Network Interface (ENI) を持ち、IPアドレスを割り当てられる方式です。これにより、タスクごとにセキュリティグループを直接適用でき、ネットワークアクセスがきめ細かく制御できます。これは、最小権限の原則に従い、タスクごとに個別のネットワークアクセス制御を行うために重要です。

また、AWSのベストプラクティスとして、awsvpcモードを使用することで、コンテナが独自のネットワーク設定を持ち、他のリソースとの通信がより安全に管理できます。

E. タスクにセキュリティグループを適用し、タスクが他のリソースにアクセスするためのIAMロールを使用する。

コンテナに必要なアクセス権限を付与するために、タスクにセキュリティグループを適用することは、セキュリティのベストプラクティスです。これにより、タスクのネットワークアクセスが制御され、他のリソースへのアクセス権限を最小限に抑えることができます。

さらに、IAMロールをタスクに付与することで、最小権限で他のAWSサービスにアクセスできるようになります。これにより、セキュリティが向上し、コンテナが必要なリソースのみアクセスできるようになります。

なぜ他の選択肢が不適切なのか

A. ブリッジネットワークモードを使用してタスクを作成する。

bridgeネットワークモードは、タスクがホストEC2インスタンスのネットワーク上で実行され、ホストとの通信が必要な場合に使用されます。ただし、このモードでは、個別のセキュリティグループをタスクに適用することができません。そのため、最小権限の原則を満たすためには不適切です。

C. Amazon EC2インスタンスにセキュリティグループを適用し、EC2インスタンスが他のリソースにアクセスするためのIAMロールを使用する。

EC2インスタンスにセキュリティグループを適用することは一般的な方法ですが、コンテナタスクのセキュリティ要件には合いません。タスク自体にセキュリティグループを適用することで、より細かい制御が可能です。

D. タスクにセキュリティグループを適用し、コンテナ起動時に他のリソースにアクセスするためのIAM認証情報をコンテナに渡す。

IAM認証情報をコンテナに渡す方法は、セキュリティ上のリスクを高める可能性があり、AWSではIAMロールを使用してアクセスを制御する方が推奨されています。

結論

最小権限の原則に従い、awsvpcネットワークモードを使用し、タスクにセキュリティグループとIAMロールを適用することが、最も安全で効率的な方法です。