Presentation Title Here

Size: px

Start display at page:

Download "Presentation Title Here"

こうだいのたけ
5 years ago
Views:

1 AWS CloudTrail & AWS Config 2015/07/15 AWS Black Belt Tech Webinar 2015 アマゾンデータサービスジャパン株式会社パートナーソリューションアーキテクト酒徳知明

2 Agenda AWS CloudTrail について概要 AWS CloudTrail の要点利用ケース AWS Config について概要 AWS Config の要点利用ケースまとめ 2

3 CloudTrail

4 AWS CloudTrail とはユーザによる API の発行各リージョンの AWS リソースの呼び出し CloudTrail が API コールをロギングユーザの操作を管理 4

5 CloudTrail の特徴概要 AWS アカウントの操作をロギングするサービス管理コンソールコマンドライン 3rd party 等 API コールされるイベントが対象ロギングの対象 S3 にロギングデータを保存 SNS(Simple Notification Service) で通知可能 CloudTrail 自体は無料 ( 別途 Amazon S3 / SNS の使用料金が必要 ) ユースケースコンプライアンス準拠リソースのライフサイクル管理運用上のトラブルシューティングセキュリティ面の分析 5

6 CloudTrail でロギング可能なサービス Compute Amazon Elastic Compute Cloud (EC2) Auto Scaling Elastic Load Balancing Amazon EC2 Container Service AWS Lambda Database Amazon Relational Database Service Amazon ElastiCache Amazon Redshift Amazon DynamoDB Deployment and Management AWS Elastic Beanstalk AWS OpsWorks AWS CloudFormation AWS CodeDeploy AWS CodePipeline Amazon API Gateway Storage and Content Delivery AWS Storage Gateway Amazon Glacier Amazon CloudFront Networking Amazon Virtual Private Cloud AWS Direct Connect Amazon Route 53 Administration and Security AWS Identity and Access Management AWS CloudTrail Amazon CloudWatch AWS Key Management Service AWS Security Token Service AWS CloudHSM AWS Config AWS Directory Service Analytics Amazon Elastic MapReduce Amazon Kinesis AWS Data Pipeline Enterprise Applications Amazon WorkDocs Amazon WorkSpaces Application Services Amazon Simple Queue Service Amazon Simple Workflow Service Amazon Elastic Transcoder Amazon CloudSearch Amazon Simple Service Mobile Services Amazon Simple Notification Service 2015 年 7 月 15 日時点 6

7 AWS CloudTrail の設定 S3 / SNS の設定 CloudWatch Logs の設定 7

8 ログファイルの保存先ログファイルは命名規則の元ある特定のパスで保存されます S3 バケットに約 5 分ごとにログファイルを送信しますそのアカウントに対して API の呼び出しがない場合はログファイルを送信しません 8

9 AWS CloudTrail によりロギングされるイベント API call Event Non-API call Event サポートサービスから発行される API StartInstances CreateKeyPair ユーザのサインインアクティビテイ AWS マネジメントコンソール AWS ディスカッションフォーラム 9

10 CloudTrail イベントから取得できる情報誰がAPIコールを発行したのかいつAPIコールが発行されたのかどのAPIコールが発行されたのかどのAWSリソースから発行されたのかどのAWSリソースに対して発行されたのか 10

11 誰が API コールを発行したのか 1 IAM ユーザ Bob のユーザ情報 "useridentity : { "accesskeyid":"akexample123ejva", "accountid": ", "arn":"arn:aws:iam:: :user/bob", "principalid":"aiexample987zklald3hs", "type":"iamuser", "username": Bob" } 11

12 誰が API コールを発行したのか 2 フェデレーションユーザ Alice のユーザ情報 "useridentity": { "type":"federateduser", "principalid":" :alice", "arn":"arn:aws:sts:: :federated-user/alice", "accountid":" ", "accesskeyid":"asexample1234wtrox8f", "sessionissuer":{ "type":"iamuser", "accountid":" ", "username": Bob" } } 12

13 いつ API コールが発行されたのかどの API コールが発行されたのか ISO8601 フォーマットでの記載 "eventtime":" t05:58:13z API コールの名前とターゲット情報を記載 "eventsource":"signin.amazonaws.com" "eventname":"consolelogin" 13

14 どの AWS リソースから発行されたのかリクエスターの IP アドレス API が発行されたリージョンの情報を記載 "awsregion":"us-east-1", "sourceipaddress":"ec2.amazonaws.com" 14

15 蓄積した JSON ファイルの扱い方アラート ( 短期 ) 文字列検索 ( 中期 ) 可視化 ( 長期 ) 15

16 CloudWatch Logs Metric Filter の利用 CloudTrail と CloudWatch Logs の連携 CloudTrail のログを JSON 形式で CloudWatch Logs に転送アカウント内でコールされた特定の API を監視し呼ばれたときに電子メール通知を受けることが可能 CloudTrail CloudWatch Logs CloudWatch Logs Metric Filter 16

17 CloudWatch Logs Metric Filter の利用特定文字列のエントリ頻度によりアラーム作成が可能 17

18 Metric Filters サンプルアカウント root ログインの監視 { ($.eventname = "ConsoleLogin") && ($.useridentity.type = "Root") } 認証失敗の監視 {$.errorcode = "AccessDenied" $.errorcode = "UnauthorizedOperation"} 特定インスタンスタイプの EC2 が作成されたかの監視 {$.eventname = "RunInstances" && ($.requestparameters.instancetype = *.8xlarge" $.requestparameters.instancetype = *.4xlarge"} セキュリティグループ変更の監視 {($.eventname = "AuthorizeSecurityGroupIngress") ($.eventname = "AuthorizeSecurityGroupEgress") ($.eventname = "RevokeSecurityGroupIngress" ($.eventname = "RevokeSecurityGroupEgress") ($.eventname = "CreateSecurityGroup") ($.eventname = "DeleteSecurityGroup")} 18

CloudWatch アラーム CloudFormation テンプレート CloudFormation をつかったメトリックフィルタの自動作成 19 http://aws.

19 CloudWatch アラーム CloudFormation テンプレート CloudFormation をつかったメトリックフィルタの自動作成 19

20 20 AWS CloudTrail の設定

21 AWS CloudTrail API Activity Lookup CloudTrail コンソールまたは AWS SDK, AWS CLI から API アクティビティを検索する機能東京リージョンでも利用可能 CloudTrail が有効にするだけで自動で利用可能最新の 7 日間の API アクティビティの検索 21

22 AWS CloudTrail API Activity Lookup $ aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=RunInstances --start-time end-time

23 API Activity Lookup の制限事項 1 Compute Amazon Elastic Compute Cloud (EC2) Auto Scaling Elastic Load Balancing Amazon EC2 Container Service AWS Lambda Database Amazon Relational Database Service Amazon ElastiCache Amazon Redshift Amazon DynamoDB Deployment and Management AWS Elastic Beanstalk AWS OpsWorks AWS CloudFormation AWS CodeDeploy AWS CodePipeline Amazon API Gateway Storage and Content Delivery AWS Storage Gateway Amazon Glacier Amazon CloudFront Networking Amazon Virtual Private Cloud AWS Direct Connect Amazon Route 53 Administration and Security AWS Identity and Access Management AWS CloudTrail Amazon CloudWatch AWS Key Management Service AWS Security Token Service AWS CloudHSM AWS Config AWS Directory Service AWS Management Console Sign-in Service Analytics Amazon Elastic MapReduce Amazon Kinesis AWS Data Pipeline Enterprise Applications Amazon WorkDocs Amazon WorkSpaces Application Services Amazon Simple Queue Service Amazon Simple Workflow Service Amazon Elastic Transcoder Amazon CloudSearch Amazon Simple Service Mobile Services Amazon Simple Notification Service 2015 年 7 月 15 日時点 23

24 API Activity Lookup の制限事項 2 Time Range 検索過去 7 日間の AWS アカウント内のリソースの作成変更削除に関する API アクティビティ Filter 検索検索できる属性の制限 User name Event name Resource type Resource name 24

Amazon CloudSearch, Amazon Elastic Beanstalk 2 3

25 Amazon CloudSearch, Amazon Elastic Beanstalk CloudTrail Amazon SNS Topics Amazon SQS Queue AWS ElasticBeanstalk Worker Role Amazon CloudSearch Amazon S3 Backet 25

26 AWS Elastic Beanstalk Worker Tier Web アプリを実装するだけで SQS を使った非同期処理 Worker を実装 SQS に登録されたタスクを非同期処理する Tier SQS メッセージは自動的に HTTP エンドポイントに POST 200 OK なら Delete Message エラー応答ならリトライ 26

27 Amazon CloudSearch, Amazon Lambda 1 CloudTrail Amazon S3 Bucket 2 3 Amazon Lambda Amazon CloudSearch 27

28 ElasticSearch, Kibana, Amazon Lambda CloudTrail Amazon S3 Backet Amazon Lambda Logstash ElasticSearch 28

29 Lambda Code s3.getobject({ Bucket : bucket, Key : key }, function(err,data) { if(err){ context.done('error','error getting file' + err); } else { var contenttype = data.contenttype; var contentencoding = data.contentencoding; if (contenttype === "application/json" && contentencoding === "gzip") { var logfilename = key.substr(key.lastindexof("/") + 1); var buf = data.body; zlib.gunzip(buf, function(_, dezipped) { var json = JSON.parse(dezipped.toString('utf-8')); sendtoes(context,region,logfilename,json); }); } } }); }; //bulk send to Elasticsearch function sendtoes(context,region,logfilename,json){ var records = json.records; var searchrecords = []; for(var i = 0; i < records.length; i++){ var record = records[i]; var header = { "index":{ "_index": ES_INDEX, "_type": ES_TYPE, "_id": record.eventtime + "-" + record.requestid } }; var searchrecord = { "usertype" : record.useridentity.type, "arn" : record.useridentity.arn, "username" : record.useridentity.username, "eventtime" : record.eventtime, "eventsource" : record.eventsource, "eventname" : record.eventname, "awsregion" : record.awsregion, "sourceipaddress" : record.sourceipaddress, "eventid" : record.eventid, "logfilename" : logfilename }; searchrecords.push(header); searchrecords.push(searchrecord); }; 29

30 蓄積した JSON ファイルの扱い方アラート ( 短期 ) 文字列検索 ( 中期 ) 可視化 ( 長期 ) 30

31 CloudTrail パートナーソリューションテクノロジーパートナーコンサルティングパートナー 31

32 32 Splunk Dashboard

33 33 AWS Config

34 AWS Config とは AWS リソースのレポジトリ情報を取得しリソースの設定履歴を監査リソース構成の変更を通知することができるフルマネージドサービスユースケースセキュリティ分析 :Am I safe? 監査コンプライアンス :Where is the evidence? 変更管理 :What will this change affect? トラブルシューティング :What has changed? ディスカバリー :What resources exist?

35 構成変更記録変更更新ストリームヒストリ AWS Config スナップショット (ex )

36 AWS Config Configuration Stream リソースが作成変更または構成項目を削除されるたびに作成され構成ストリームに追加される SNSトピック連携可能 Configuration History 設定履歴は任意の期間における各リソースタイプの構成要素の集合リソースの設定履歴を指定したS3バケットに保存 Configuration Snapshot あるポイントでのコンフィグレーションアイテムの集合自動で定期的あるいは変更トリガで作成され Amazon S3 にエクスポートされる , 2:30pm 36

37 AWS Config が対応している AWS リソース現在 AWS Config が対応しているのは下記 4 サービス Amazon EC2 Instance, ENI... Amazon VPC VPC, Subnet... Amazon EBS Volumes AWS CloudTrail 2015 年 7 月 15 日時点 37

38 AWS Config で管理できる AWS リソース Resource Type Amazon EC2 Amazon EBS Amazon VPC AWS CloudTrail Resource EC2 Instance EC2 Elastic IP (VPC only) EC2 Security Group EC2 Network Interface EBS Volume VPCs Network ACLs Route Table Subnet VPN Connection Internet Gateway Customer Gateway VPN Gateway Trail 38

39 リレーションシップアカウント内のAWSリソース間の関係双方向の依存関係が自動的に割り当てられる Example: セキュリティグループ sg-10dk8ej とEC2 インスタンス i-123a3d9 は互いに関連関係にあります 39

40 リレーションシップ Resource Relationship Related Resource CustomerGateway is attached to VPN Connection Elastic IP (EIP) is attached to Network Interface is attached to Instance Instance contains Network Interface is attached to ElasticIP (EIP) is contained in Route Table is associated with Security Group is contained in Subnet is attached to Volume is contained in Virtual Private Cloud (VPC) InternetGateway is attached to Virtual Private Cloud (VPC)

41 AWS Config リソース検索

42 選択リソースの情報構成詳細リレーション変更

43 リソース構成変更例インスタンスタイプの変更 (m3.xlarge m3.medium) EBS ボリュームの追加 m3.xlarge m3.medium EC2 EC2 30GB

44 リソース情報 ( 構成詳細 )

45 リソース情報 ( リレーション )

46 リソース情報 ( 変更 )

47 ロギングするサービスの選択構成変更をロギングするサービスを選択できるようになりました 47

48 AWS Config リレーションシップ IGW NACL Security Group EIP CGW VPC EC2 EBS VPN Route Table Subnet ENI 48

49 AWS Config から見るリソースのリレーション $ aws configservice get-resource-config-history --resource-type AWS::EC2::Instance --resource-id i-cbe region us-east-1 { "configurationitems": [ { "configurationitemcapturetime": , "resourcecreationtime": , "availabilityzone": "us-east-1c", "tags": { "Name": "cwl-sqlserver" }, "resourcetype": "AWS::EC2::Instance", "resourceid": "i-cbexxxxx", "configurationstateid": "547", "relatedevents": [], "relationships": [ { "resourcetype": "AWS::EC2::EIP", "resourceid": "eipalloc-e6dcxxxx", "relationshipname": "Is attached to ElasticIp" }, { "resourcetype": "AWS::EC2::NetworkInterface", "resourceid": "eni-8270xxxx", "relationshipname": "Contains NetworkInterface" }, { "resourcetype": "AWS::EC2::SecurityGroup", "resourceid": "sg-53f9xxxx", "relationshipname": "Is associated with SecurityGroup" }, { "resourcetype": "AWS::EC2::Subnet", "resourceid": "subnet-a1dbxxxx", "relationshipname": "Is contained in Subnet" }, { "resourcetype": "AWS::EC2::Volume", "resourceid": "vol-592axxxx", "relationshipname": "Is attached to Volume" }, 49

50 AWS Config リレーションシップ wfront-6171 cli/sdk/metadata AWS Config Security Group wfront-6172 cli/sdk/metadata wfront-6173 cli/sdk/metadata 50

51 AWS Config からのスナップショットの取得 $ aws configservice deliver-config-snapshot --delivery-channel-name default --region us-east-1 { "configsnapshotid": "5b a6e0-4d19-a d932XXXX" } $ aws configservice describe-delivery-channel-status --region us-east-1 { "DeliveryChannelsStatus": [ { "configstreamdeliveryinfo": { "laststatuschangetime": , "laststatus": "SUCCESS" }, "confighistorydeliveryinfo": { "lastsuccessfultime": , "laststatus": "SUCCESS", "lastattempttime": }, "configsnapshotdeliveryinfo": { "lastsuccessfultime": , "laststatus": "SUCCESS", "lastattempttime": }, "name": "default" 51

52 52 AWS Config パートナー

53 53 Logstorage による可視化

54 まとめ AWS CloudTrail はユーザのオペレーションを記録 AWS Config はユーザオペレーションにより変更のあった AWS リソースを記録 AWS CloudTrail も AWS Config も JSON で履歴を管理するため用途に応じた管理が必要 54

55 Q&A 次回 Webinar のお申し込み 55

56 Webinar 資料の配置場所 AWS クラウドサービス活用資料集 56

57 公式 Twitter/Facebook AWS 検索もしくは最新技術情報イベント情報お役立ち情報お得なキャンペーン情報などを日々更新しています! 57

58 AWS 運用コミュニティ ~ クラウドによるクラウドのためのクラウド運用管理 ~ AWS 06/aws-ops.html

59 59 ご参加ありがとうございました

Presentation Title Here

Presentation Title Here AWS Black Belt Online Seminar AWS CloudTrail & AWS Config アマゾンウェブサービスジャパン株式会社パートナーソリューションアーキテクト酒徳知明 2016.08.31 AWS Black Belt Online Seminar とは AWSJ の Tech メンバが AWS に関する様々な事を紹介するオンラインセミナーです火曜 12:00~13:00