AWS Config Rules hands on

1. OpsJAWS
#3
AWS
Config
Rulesハンズオン
株式会社サーバーワークス
柳柳瀬 任章

2. ⾃自⼰己紹介
@oko_̲chang
http://facebook.com/yanase.hideaki
http://okochang.hatenablog.jp
HR106 ／ ギルド、⼤大剣
柳柳瀬 任章（やなせ ひであき）／ サーバーワークス

3. 好評発売中！

4. Serverworks
AWS専業のクラウドインテグレータ
業務系を中⼼心に320社1200プロジェクトの実績
東京、福岡、⼤大阪、仙台
APN Premier Consulting Partner
APN Managed Service Program
4

5. Cloud Automator

6. Cloud Automator とは
(クラウドオートメーター)とは、
AWS(Amazon Web Services) の運⽤用管理理を⾃自動化するサービスです
AWSのオペレーション
が変化します！
これまでの
AWSオペレーション
AWS運⽤用担当者が
⼿手動で対応
新しい
AWSオペレーション
CLOUD AUTOMATOR
で⾃自動運⽤用

7. 資料料は公開済みです！
http://slideshare.net/
okochang/

8. Agenda
AWS Config Rulesとは
AWS Config Rulesに必要な要素
AWS Managed Config Rulesを使う
Custom Config Rulesを使う
Custom Config Rulesの動作確認
お⽚片づけ
8

9. AWS Config Rulesとは
9

10. アカウントはあるべき状態を
維持出来ていますか？

11. 今までの解決⽅方法
⽬目視チェック ⼯工ｴｴｪｪ(´́д｀)ｪｪｴｴ⼯工
Trusted Advisor（⼀一部）
独⾃自スクリプト、独⾃自テストコード
https://github.com/serverworks/aws-‐‑‒spec
https://github.com/k1LoW/awspec

12. AWS Config Rules概要
AWS Configに追加された新しい機能。
管理理者がAWSリソースのプロビジョニングや設定ガ
イドラインを定義して、ガイドラインとのコンプラ
イアンスを継続的に監視することが出来ます。
12

13. 対応しているサービス
EC2
IAM
CloudTrail

14. 具体例例
CloudTrailが有効化されているか
EBSボリュームが暗号化されているか
EIPがインスタンスにアタッチされているか

15. 特徴
定期的に状態を監視が出来ること
設定変更更をトリガにして状態を監視出来ること

16. AWS Config Rulesに
必要な要素
16

17. AWS Config
AWS ConfigとはAWSリソースの⼀一覧、設定履履歴、
設定変更更通知などの機能を提供します
以下のものを設定して使⽤用します
ログ保管⽤用のS3バケット
通知⽤用のSNSトピック

18. Amazon S3
安全で、耐久性と拡張性が⾼高いクラウドのストレー
ジサービス
ログを保存のために使⽤用します

19. Amazon SNS
プッシュ⽅方式のメッセージ送信サービスで、モバイ
ルデバイスや分散サービスに簡単に通知出来るクラ
ウドサービスです
AWS Configに設定する通知先として使⽤用します

20. AWS Lambda
アップロードしたプログラムを、AWSインフラを
使⽤用して実⾏行行代⾏行行するコンピュートサービス
Custom Ruleを定義するときに使⽤用します
以下のプロラム⾔言語をサポート
Node.js
Java
Python

21. AWS Identity Access Management
ユーザーがAWSへのアクセスを安全に制御するた
めのサービス
AWS ConfigにIAMロールを使って権限を付与する
Custom Ruleで使⽤用するLambda FunctionにIAM
ロールを使って権限を付与する

22. ハンズオンの準備
22

23. AWS Config初回設定
AWS Config Rules
SKIP
Settings
Resouce types to record
Amazon S3 Bucket
Amazon SNS Topic
IAM Role

24. AWS Configの開始
24
h#ps://console.aws.amazon.com/config/home?region=us-­‐east-­‐1

25. 記録するレコードの設定
25

26. ログ設定
26

27. 通知設定
27

28. 権限設定
28

29. 設定レビュー
29

30. Managed Config Rule
ハンズオン
30

31. Managed Config Ruleでやること
順守されるべきルール
AWSアカウントでCloudTrailが有効化されていること
評価されるトリガー
n時間毎

32. Managed Ruleの設定開始
32

33. Managed Ruleの選択
33

34. 名前の設定
34

35. トリガー設定
35

36. 評価中
36

37. ルールが順守されている場合
37

38. ルールが順守されていない場合
38

39. ルールの詳細画⾯面
39

40. Custom Config Rule
ハンズオン
40

41. Custom Config Ruleでやること
順守されるべきルール
指定したVPCのFlow Logsが有効化されていること
評価されるトリガー
指定したVPCに設定変更更があった時

42. 評価するVPCのIDをメモ
42

43. Custom Ruleの設定開始
43

44. Custom Ruleを追加する
44

45. Custom Ruleの名前設定
45

46. Blue printは使わずにスキップ
46

47. Lambda functionの名前と⾔言語設定
47

48. ⾔言語について
AWS公式ドキュメントで公開されているサンプル
コードはJavaScriptが中⼼心
インフラ系の⼈人で普段使っている⼈人は多くなさそう
Pythonの⽅方がインフラ系の⼈人でも使ってる⼈人が多
そうという期待

49. サンプルコードを貼り付け
49
h#p://bit.ly/206LSqk

50. サンプルコードの注意点
ポイントとなるところを分かりやすくするために、
必要最低限のシンプルな内容にしています
本番環境で使⽤用する場合はエラーハンドリングなど
を必ず加えて下さい

51. サンプルコードの概要
def evaluate_̲flowlog(vpc_̲id)
....... # VPC Flow Logsが有効か評価する
def evaluate_̲compliance(vpc_̲id)
....... # ルールに準拠したかどうか評価する
def lambda_̲handler(event, context)
....... # 実⾏行行する処理理

52. EventとContext
Event
トリガー発⽣生時に取得された情報が渡される
configRuleName
invokingEvent
resourceType
notificationCreationTime
resultToken
ruleParameters
Context
⾃自分⾃自⾝身のラインタイム情報が渡される

53. 評価後、AWSに渡す情報
put_̲evaluations
ComplianceResourceType
評価したリソースタイプ
AWS::EC2::VPC, AWS::EC2::Instance
ComplianceResourceId
評価したリソースID
vpc-‐‑‒xxxxxx, i-‐‑‒xxxxxxxx, sg-‐‑‒xxxxxxxx
ComplianceType
評価した結果
COMPLIANT、NON_̲COMPLIANT
OrderingTimestamp
イベントが発⽣生した時間

54. Lambda functionの権限設定
54

55. サンプルのIAMポリシーを貼り付け
55
h#p://bit.ly/1ScRJpR

56. IAMロールが設定されていることを確認
56

57. Lambda function設定レビュー
57

58. Lambda functionのARNをコピー
58

59. Lambda functionのARNをペースト
59

60. トリガー設定
60

61. 評価中
61

62. ルールが順守されていない場合
62

63. ルールの詳細画⾯面
63

64. Custom Config Rule
動作確認
64

65. VPC Flow Logsを有効化する
65

66. VPC Flow Logsの設定
66

67. VPC Flow LogsのIAM設定
67

68. VPCサブネットを追加する
68

69. VPCサブネットの設定
69

70. ルールが順守されている場合
70

71. ルールの詳細画⾯面
71

72. お⽚片付け
72

73. 以下のリソースに注意して下さい
時間の関係で作成したリソースの削除が出来ません
でしたので、忘れずに削除して下さい。
S3バケット
CloudWatch Logs
Config Rules
Lambda function

74. まとめ
• AWS Config Rulesは常に変化するAWSリソースが
定義されたガイドラインを順守しているか保証する
ことが出来ます
• AWS Config Rulesはアプリケーションのテスト
コードのように、AWSリソースが変更更されたタイ
ミングで正しく動作を保証することが出来ます
• モンハンネタはやらぬが吉

75. OpsJAWS のご紹介
• AWS運⽤用管理理のノウハウを広く発信
• Partner SAブログに運⽤用Tips記事を掲載中
• http://aws.typepad.com/aws_̲partner_̲sa/2015/06/aws-‐‑‒ops.html
• または、 で検索索
• DoorKeeper: OpsJAWSコミュニティ
• https://opsjaws.doorkeeper.jp/

76. ありがとうございました！
http://cloudautomator.com