WebとかIoTのブログ

AWSのプロビジョニングサービスについて勉強したよ

したよ

• AWSのプロビジョニングサービスといえば、代表的なものは以下の3つ
  • Elastic Beanstalk
  • OpsWorks
  • CloudFormation

CloudFormationしか使ったことないけどな

• Elastic Beanstalkとは、定番のインフラ構成を自動構築するサービス
  • 構築できる構成は大きく分けて2つある
    • Webサーバ構成：ELB(Elastic Load Balancer) + Auto Scaling + EC2
    • Batchワーカー構成：SQS + Auto Scaling + EC2
  • 言語も選択可能
    • Java, Ruby, PHP, Python
  • EBで構築すると、デプロイが楽になる
    • 既存のデプロイ方式を簡単にチョイスして利用できる
      • All at Once
      • Rollingデプロイ
      • Rolling with additional batch デプロイ

• OpsWorksとは、Chefを利用した構成管理サービス
  • レシピという単位で設定ファイルを作成し、プロビジョニングを行う
  • 管理方式が2種類ある
    • Chef Client ローカル方式
      • 各サーバがレシピを持つ。自分自身にレシピを適用
    • Chef Server/Client方式
      • マスターサーバがレシピを持つ。配下のサーバへレシピを適用
• CloudFormation
  • AWSリソースを自動構築するためのサービス
  • 構築にはテンプレートと呼ばれる設定ファイルを利用する
  • テンプレートを元にスタックが作成される
  • どういうタイミングで更新が必要かなどの観点でスタックを分割する
    • スタックの分割ポリシーは公式のベストプラクティスを参照
      • https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/UserGuide/best-practices.html#organizingstacks
  • テンプレートには3つのセクションがある
    • Resources：構築するAWSリソースの設計を書く
    • Parameter：実行時に値を選択する項目を定義する
    • Mappingsセクション：変数をMap形式で定義できる

はじめに

ソース管理からデプロイまで、様々な機能を提供するAWSサービスについて、「AWS認定資格試験テキスト AWS認定ソリューションアーキテクト – アソシエイト 改訂第2版」を読みつつ整理してみた。

まとめ

• AWSでは、CI/CD環境を構築するためのマネージドサービスが提供されている
• CI/CD環境を構築するためのマネージドサービスには次のものがある
  • CodeCommit：ソースの管理
  • CodeBuild：ソースのビルド（兼テスト）
  • CodeDeploy：ビルドアーティファクトのデプロイ。ビルドアーティファクトとは、ビルドされたモジュールのこと。
  • CodePipeline：上記3つのサービスを束ね、ソース管理→ビルド→デプロイの連携を実現するサービス
  • CodeStar：上記4つのサービスを利用し、CI/CI環境を自動構築するサービス
• CodeCommit
  • Gitリポジトリを提供するマネージドサービス
  • IAMユーザとの連携ができる
  • その他AWSサービスとの連携も便利
• CodeBuild
  • ソースのコンパイル・ビルド環境を提供するマネージドサービス
  • 外部プロバイダ（GithubやBitbucket）と連携する設定も可能
  • buildspec.ymlでビルドの定義を行う
  • 料金は従量課金制（スペック x 時間）
• CodeDeploy
  • ビルドされたモジュール（アーティファクト）をサーバへ自動デプロイするサービス
  • 段階的なデプロイ、問題発生時のロールバックする機能が組み込み済
  • appspec.ymlでデプロイ先・デプロイ方式の設定が可能
  • デプロイ方式には次がある
    • AllAtOnce：まとめて更新
    • HalfAtATime：50%ずつデプロイ
    • OneAtATime：一台づつ、切り離してデプロイ
• CodePipeline
  • ソース管理・ビルド・デプロイの連携を実現するサービス
    • まずここから骨組みを作って、肉付けしていくという進め方もできる
  • 途中で人による承認プロセスも組み込むことができる

最後に

CodeStarと似たようなサービスでAWS Amplifyがあるが、CodeStarだとアプリケーションのソースのスケルトンまで用意してくれる、という違いがあるようだ

参考

• Amazon.co.jp: AWS認定資格試験テキスト AWS認定ソリューションアーキテクト – アソシエイト 改訂第2版 : NRIネットコム株式会社, 佐々木 拓郎, 林 晋一郎, 金澤 圭: 本 https://www.amazon.co.jp/dp/4815607389/

はじめに

KMSとCloudHSMについて学んで、要点をまとめてみることにした

やってみたこと

• AWSの鍵管理サービスには2種類ある
  • KMS
    • マルチテナント
    • 使った分だけ課金
  • CloudHSM
    • 専有
    • 月額の固定費
• 使い分けの基準
  • 秒間で100を超えるリクエストがあるならCloudHSM
  • 公開鍵暗号化を利用したい場合にはCloudHSM
    • 暗号化と復号化に同じ鍵を使うのが共通鍵暗号化方式
      • 鍵が漏れると危険
    • 暗号化と復号化に別な鍵を使うのが公開鍵暗号化方式
      • 平文で送らないように内容は暗号化したい
      • 鍵が漏れても期限じゃない
        • 暗号化のための鍵はだれでも入手可能に
        • ただし、復号化のための鍵は自分しかもっていない状態にする
  • それ以外であればKMS
• KMSの機能
  • Encrypt：暗号化
  • Decrypt：復号化
  • GenerateDataKey：カスタマーデータキーを作成
• マスターキーとデータキー
  • データの暗号化をCDK（Customer Data Key）で行う
  • CDKの暗号化をCMK（Customer Master Key）で行う
  • それによって、例えばS3のデータキーが流出しても、マスターキーが流出しない限りは復号化を防ぐことができるということ
    • なぜなら、マスターキーが無いと、データキーを複合できないため
  • なので、マスターキーだけに管理リソースを全振りできることになり、セキュリティを高めることができる

最後に

マスターキーの考え方を延伸すると、すべてのAWSアカウントのマスターキーのマスターキーが欲しい。みたいな考え方になる気がするけど合ってる？

参考

はじめに

AWSの代表的なストレージサービスについて、よく知らなかったのでまとめてみた

まとめ

一般的なストレージのタイプ

ブロックストレージ

• データを物理的なディスクにブロック単位で管理するストレージ

ファイルストレージ

• データをファイル単位で管理するストレージ

オブジェクトストレージ

• ファイルを「オブジェクト」単位で管理するストレージ。オブジェクトとは、メタデータとファイルをひとまとめにしたデータ。

Amazon EBS(Elastic Block Store)

• ブロックストレージサービス
  • ブロックストレージとは、「ブロック」の単位でデータを保存するストレージ
• 1つのEC2(インスタンス)に1つ割り当て可能
  • ただし、マルチアタッチ機能により複数同時アタッチも可能なケースも有る
• 同じAZ内のEBSしかアタッチできない
  • 別なAZに移す場合にはスナップショットをとって新規に作る必要がある
• 代表的なボリュームタイプが複数存在する
  • 汎用SSD
    • 汎用タイプ
    • 3〜16000 IOPS
  • プロビジョンドIOPS SSD
    • 最も高性能なタイプ
    • 50〜64000 IOPS
  • スループット最適化HDD
    • 1TBあたり 40MB〜500MB/秒のベースライン性能
  • Cold HDD
    • 最も低コスト
    • 1TBあたり 12MB/秒〜250MB/秒のベースライン性能
• ベースライン性能とバースト性能
  • バースト性能
    • 一時的な処理量の増加に対応
  • ベースライン性能
    • 普段の処理用
• EBSで何が拡張・変更できるのか
  • 容量
    • 拡張はできるが縮小はできない
  • ボリュームタイプ
• 可用性・耐久性・セキュリティが高い
  • SLA：99.99% / 月

Amazon EFS(Elastic File Server)

• ファイルストレージサービス
• EFSの構成要素
  • ファイルシステム
    • NTFSやAPFSなどの方式
  • マウントターゲット
    • マウントに必要な情報
  • セキュリティグループ
    • 通信制限などの設定
• EFSのパフォーマンスモード
  • 汎用
  • 最大I/O
    • 数百〜数千台といったクライアントから同時にEFSへアクセスがある場合などに利用
      • PercentIOLimitメトリクスで要否を判断するとよい
• EFSのスループットモード
  • バーストスループット
  • プロビジョニングスループット

Amazon S3(Simple Storage Service)

• オブジェクトストレージサービス
  • ファイルストレージサービスっぽいけどちょっと違う
• 構成要素
  • バケット
    • フォルダみたいなもの
  • オブジェクト
    • ファイルみたいなもの
  • メタデータ
    • オブジェクトの管理情報
• S3の整合性
  • 結果整合性方式を採用している
    • 要はラグる
• ストレージクラス
  • S3標準
  • 低頻度アクセス
  • Inteligent-Tiering
  • Glacier
  • Glacier Deep Archive
• ライフサイクル管理
  • 移行アクション
    • 利用頻度に応じてストレージクラスを変更するオプション
  • 有効期限アクション
    • 指定された期限を超えたオブジェクトを削除するオプション
• バージョニング
• Webサイトホスティング機能
• アクセス管理機能
  • バケットポリシー
    • 独自の記法で、アクセスできる条件を細かくセットできる
  • ACL
    • オブジェクト単位で公開・非公開を設定できる

最後に

S3が全然Simpleじゃない