AWSマイスターシリーズ～CloudFront & Route53～

Size: px

Start display at page:

Download "AWSマイスターシリーズ～CloudFront & Route53～"

ふじよしくまじ
5 years ago
Views:

1 Amazon Virtual Private Cloud (VPC) アマゾンデータサービスジャパン株式会社

2 AWS の様々なサービスお客様のアプリケーションライブラリ & SDKs Java, PHP,.NET, Python, Ruby IDE プラグイン Eclipse Visual Studio Web 管理画面 Management Console 認証 AWS IAM モニタリング Amazon CloudWatch デプロイと自動化 AWS Elastic Beanstalk AWS CloudFromation Development & Administration メッセージ Amazon SNS Amazon SQS メール配信 Amazon SES ワークフロー管理 Amazon SWF コンテンツ配信 Amazon CloudFront 分散処理 Elastic MapReduce キャッシング Amazon Elasticache Application Service コンピュータ処理 Amazon EC2 Auto Scale ストレージ Amazon S3 Amazon EBS AWS StorageGateway データベース Amazon RDS Amazon DynamoDB Amazon SimpleDB ネットワーク & ルーティング Amazon VPC / Amazon Elastic Load Balancer / Amazon Route 53 /AWS Direct Connect Infrastructure Service Region 2 AZ AWS グローバルインフラ Geographical Regions, Availability Zones, Points of Presence

3 Agenda VPCとは? VPCの構成要素 Hands-on Amazon Direct Connectとは VPC + VPN/Direct Connectを使った構成例 Q&A

4 VPC とは?

5 Amazon VPC AWSクラウド上にプライベートクラウドを構築 1 社内からVPN 接続して閉域網でAWS 利用 2 仮想ネットワーキングオンプレミスとのハイブリッドが簡単に実現 AWSが社内インフラの一部に見える社内システムソフトウェアの移行がより容易に例 : 業務システムバッチ処理ファイルサーバより細やかにネットワークがコントロール可能全リージョンで利用可能 5

6 なぜ VPC が必要か? ネットワークセキュリティを高めるきめ細かなアクセス制御が可能 Security Group, NACL, Route Table, etc VPN, DX を使って完全に外部と閉じた環境を実現自由なネットワーク設計が可能既存のネットワークルールを適用可能ローカル IP を固定で使用可能

7 お客様のインフラをAWS上に延長するリージョン VPN 接続 EC2内に分離したサブネットを自由に作成 EC2 Internet イントラ VPC プライベートサブネット NAT パブリックサブネット VPN DX ゲートウェイ

8 VPC のテンプレートを準備 IPアドレス割り当て複数サブネットインターネットGW カスタマー GW 以下は構成例 ( 柔軟な構成が可能 ) パブリックサブネットパブリック + プライベート +VPN パブリック + プライベートサブネットプライベート +VPN 8

9 VPC with a Single Public Subnet EIP(Elastic IP) アドレスをパブリックインタフェースにアサイン適用メリット高いセキュリティの中で Web アプリを稼働させるプライベート IP を用いてインスタンスをまとめられる 9

10 VPC with Public and Private Subnets パブリックサブネットのインスタンスには EIP をアサインできるプライベートサブネットのインスタンスはインターネットから直接アクセスできない適用メリット Web サーバーをパブリックサブネットを稼働しプライベートサブネット内のデータベースの読み書きを行う 10

11 VPC with Public and Private Subnets and a VPN Connection パブリックサブネットのインスタンスには EIP をアサインできるプライベートサブネットのインスタンスに VPN 経由でアクセス可能適用メリット VPC をインターネットに接続しつつデータセンターをクラウド上に拡張 11

12 VPC a Private Subnet and a VPN Connection VPC 登場時はこの形態のみだった全てのトラフィックは社内データセンターのファイヤウォール経由で行われる適用メリットデータセンターをクラウドに拡張しても中央集権的管理を維持する 12

13 VPC の構成要素

14 VPC で操作できる構成要素 VPCで操作できる構成要素 Security Group(and DB Security Group) Network Access Control (NACL) Route TableとInternet Gateway (IGW) NAT EC2 Dedicated Instance Elastic Network Interface

15 VPC での Security Group と NACL Instance レベルで In/Out のアクセス制御 Subnet レベルで In/Out のアクセス制御

16 EC2 のセキュリティグループ設定インターネットからのトラフィック (Inbound) をブロックするだけでなく EC2 からのトラフィック (Outbound) を制限する事も可能です Port 80 (HTTP) EC2 Instance Security Group Port 22 (SSH)

17 EC2 のセキュリティグループ設定セキュリティグループの Source に対してセキュリティグループのIDを指定することが可能です Port range Source /0 Apache EC2 Port range Source 3306 sg-aaaaaa Security Group-A (ID: sg-aaaaaa) Apache EC2 MySQL EC2 Security Group-B (ID: sg-bbbbbb) Port range Source /0 Security Group-C (ID: sg-cccccc)

18 Route Table について各 Subnet は Route Table を持っている設定を変更することでデータの流れを制御可能 Public Subnet の Route Table IGW(Internet Gateway) へのルーティングがあるので外部とのアクセスが可能 Private Subnet の Route Table

0.0.0/16 Destination Target 10.0.0.0/16 Local 0.

19 Route Table について Internet Internet Gateway IGW に Routing されていないので外部と通信できない Web Server Public Subnet Web Server Private Subnet VPC /16 Destination Target /16 Local /0 igw-xxxxx Destination Target /16 Local

20 ELB on VPC ELB on VPC の機能パブリッククラウドの ELB と機能面は同等 ELB のトラフィックをサブネットをまたいで分散 ELB セキュリティグループでより細かくコントロール可能 ELB on VPC の制約 IPv6 サポートは現状なし /27 CIDR ブロック以上の IP アドレスが必要

21 RDS for MySQL on VPC MySQL RDSはVPCで使えるようにマルチAZ 対応リードレプリカ対応 VPC 上での注意点 DB Subnet Groupを事前に作成する RDSを利用するVPC 及びサブネットを指定 RDSをVPC 内で起動 DB Subnet Groupを指定 DBセキュリティグループも指定する 21

22 VPC 設定時の注意点 VPC 内で構成する EC2 Instance, ELB, Elastic IP, Security Group などを作成する際 VPC を明示的に指定する必要がある EC2 の t1.micro は使うことができないプライベート IP を指定して起動できる指定しないと自動で割り振られる Elastic IP の挙動が異なる VPC では EC2 を再起動しても割当てられたままとなる既に Elastic IP が割当てられている EC2 に対して別の Elastic IP を割り当てても Error になる

23 Hands-on

24 EC2 Dedicated Instance VPC 内で専用インスタンスシングルテナント保証クラウドのメリット確保従量課金柔軟にスケールアップ瞬時に調達規制に対応しなければいけないお客様のご要望に応えるサービス通常のEC2 物理サーバー顧客 A 顧客 B Dedicated Instance 物理サーバー顧客 A 顧客 B 顧客 C 顧客 C

25 NAT について AWS から NAT 用の EC2 AMI を提供している Private Subnet から外部インターネットにアクセスする際の手段ソフトウェアリポジトリにアクセス外部パッチサイトにアクセス S3, Route53, DynamoDB, SES, SQS などの VPC 外の AWS サービスにアクセス NAT Instance を使うことでセキュリティを確保したまま外部へのアクセスが可能

26 NAT について Internet Internet Gateway IGW に Routing されていないので直接外部と通信できない Web Server Public Subnet NAT Web Server Private Subnet VPC /16 Destination Target /16 Local /0 igw-xxxxx Destination Target /16 Local /0 NAT

Public subnet + Private subnet + VPN GW Corporate = 172.16.

Subnet NAT instance Security Group Private Subnet

0.0.0/16 local 0.0.0.0/0 Internt Gateway Virtual Private Cloud = 10.

27 Public subnet + Private subnet + VPN GW Corporate = /16 Internet Gateway VPN Gateway Security Group Public Subnet NAT instance Security Group Private Subnet Destination Target /16 local /0 Internt Gateway Virtual Private Cloud = /16 Destination Target /16 local /16 VPN Gateway /0 NAT Instance

28 ハードウェア VPN IPsec VPN BGP (Border gateway protocol) AES 128 bit の暗号化トンネルサポート対象 Cisco Integrated Services routers running Cisco IOS 12.4 (or later) software Juniper J-Series routers running JunOS 9.5 (or later) software Juniper SRX Series Service Gateway running JunOS 9.5 (or Later)software Juniper SSG/ISG running ScreenOS 6.1, or 6.2 (or later) software Yamaha RTX1200 routers (Rev ) 参考 URL <

29 Amazon Direct Connect とは

30 AWS Direct Connect とは AWS Direct Connect:AWS とデータセンターオフィスコロケーション環境間にプライベート接続を確立するサービス特徴ネットワークのコスト削減帯域幅のスループット向上インターネットベースの接続よりも一貫性がある AWS Cloud EC2, S3 などの Public サービス専用線エクイニクス相互接続ポイント AWS Direct Connect AWS Direct Connect お客様 Amazon VPC

31 AWS Direct Connect 詳細内容 AWS Direct Connect は 1Gbps および 10Gbps の接続を提供専用線サービスはお客様が下記の 2 つの選択肢から選択お客様がエクイニクス相互接続ポイントにお客様が専用線を直接つなぐ複数の通信事業者の専用線接続サービスを利用 NTT コミュニケーションズ KVH ソフトバンクテレコム野村総合研究所前提条件 Public な AWS サービス (EC2, S3, RDS, etc.) と接続する場合 Public な AS 番号が必要 Amazon VPC と接続する場合 Private な AS 番号を使用リージョン毎に契約が必要多くの容量が必要な場合複数の接続のプロビジョニングが可能

32 Equinix へラックを設置する方法 WAN の終端装置 VLAN 対応スイッチをラック内に設置 TY2 では構内配線エンドキャリア WAN 終端装置 AWS お客様ラック R 802.1q 1G/10G AWS ラック R Equinix TY2

33 課金体系 (1/2) 月額利用料は下記の計算で課金されます ( 月額利用料 = AWS Direct Connect 料金 + 通信事業者の専用線サービス料金 ) AWS Direct Connect 料金 ( 回線利用料 + データ転送料 ) 回線利用料 ( 本数分 ) ロケーション 1 Gbps ポート 10 Gbps ポート CoreSite One Wilshire, Los Angeles, CA $0.30/ 時間 $2.25/ 時間 Equinix DC1 DC6, Ashburn, VA $0.30/ 時間 $2.25/ 時間 Equinix SV1 & SV5, San Jose, CA $0.30/ 時間 $2.25/ 時間 Equinix SG2 シンガポール $0.30/ 時間 $2.25/ 時間 Equinix TY2 東京 $0.30/ 時間 $2.25/ 時間 TelecityGroup Docklands ロンドン $0.30/ 時間 $2.25/ 時間

34 課金体系 (2/2) AWS Direct Connect 料金 ( 回線利用料 + データ転送料 ) データ転送料 ( 割引されたデータ転送料金を適用 ) ロケーションデータ転送受信 ( イン ) データ転送送信 ( アウト ) CoreSite, One Wilshire と米国西部 ( 北カリフォルニア ) リージョン間バージニア州アッシュバーンの Equinix( エクイニクス ) と米国東部 ( バージニア北部 ) リージョン間 Equinix SV1 and SV5 と米国西部 ( 北カリフォルニア ) リージョン間 Equinix, SG2 とアジアパシフィック ( シンガポール ) リージョン間 Equinix, TY2 とアジアパシフィック ( 東京 ) リージョン間 TelecityGroup, ロンドン Docklands' と欧州 ( アイルランド ) リージョン間無料無料無料無料無料無料 $0.030/GB $0.020/GB $0.020/GB $0.045/GB $0.045/GB $0.030/GB 通信事業者の専用線サービス料金各通信事業者様にお問い合わせください

35 VPC+VPN/Direct Connect の構成例

36 AWS構成例仮想グループクラウド貴社プライベートクラウド本社各種団体等グループクラウド網生産関連会社A 生産関連会社B 36 生産関連会社C グループクラウド網と専用線サービス接続イントラネットの一部として AWSの利用が可能仮想グループクラウドハイブリッドクラウドサービスの一つ選択肢としてAWSを提供

37 AWS 利用例 ( バックアップ ) 既存データセンター統合バックアップ隔地保管複数世代管理 Xx システム Direct Connect( 専用線 ) Virtual Private Network (VPN) 直接バックアップ Amazon Simple Storage Service (S3) S3: データ耐久性 % AWS Storage Gateway: 透過的に S3 にバックアップを行う利用例テープ隔地保管の代替としてバックアップシステムを直接 S3 へ

38 Amazon Storage Gateway DirectConnect VPN

39 AWS 利用例 ( 開発 / 維持管理環境 ) 既存データセンター本番環境開発環境 Direct Connect( 専用線 ) Virtual Private Network (VPN) Amazon Elastic Compute Cloud (EC2) 本番環境はこれまで同様既存 DC にて構築開発維持管理環境は AWS 構築専用線接続または VPN 接続旧来の環境とシームレスに接続可能利用例本番開発環境差異 : ハードウェアに依存しないシステム開発行内 L/W

40 AWS 利用例 ( 連動性 ) 既存データセンター OVO 監視 Xx システム Direct Connect( 専用線 ) Virtual Private Network (VPN) データ連動 Amazon Elastic Compute Cloud (EC2) UID AD 認証既存システムとの連動利用例監視認証データ連動受け渡し

41 AWS 利用例 ( データ処理のみ Cloud を利用 ) 既存データセンター CPU 処理スケールアップ / アウト休止自在 Direct Connect( 専用線 ) Virtual Private Network (VPN) Oracle Database Servers Amazon Elastic Compute Cloud (EC2) データベースは既存データセンター内で構築 CPU パワー不足時または CPU 処理のみ AWS EC2, HPC, EMR を利用 ( 使用時のみ課金 ) 利用例データベースは外に出したくない業務バッチジョブ HPC 季節連動性の業務

42 オンプレミスとのハイブリッド環境 DATAPIPE 社のサービス例 Oracle DB をオンプレミスのデータセンタに設置変化するリソースは AWS 上

43 AWS 利用例 (DR 環境 ) 既存データセンター本番環境 DR 環境 Direct Connect( 専用線 ) Virtual Private Network (VPN) Amazon Elastic Compute Cloud (EC2) 本番環境は既存 DC にて構築 DR 環境は AWS 内で構築利用例これから DR 環境を整備するシステムコスト面で DR を整備出来なかったシステム (F/S 等 ) 通常は休止または必要最小規模で稼働

44 Q & A

45 最後に ( 非常に大事です!) 全てのサービスを終了しましょう!! 後から AWS にご連絡があっても対処できませんのでご了承くださいませ

46 Appendix

47 Elastic Network Interfaces とは VPC 上で実現する仮想ネットワークインタフェースを複数持てる機能インスタンスによって割り当てられる数が異なる以下を ENI に紐づけて維持可能 Private IP Elastic IP MAC アドレスセキュリティグループ

48 Elastic Network Interfaces インスタンスタイプによる設定数の制限 Elastic Network Private IP Type Name Interfaces (ENIs) Addresses per ENI Micro N/A N/A t1.micro Small 2 4 m1.small Medium 2 6 m1.medium Large 3 10 m1.large Extra Large 4 15 m1.xlarge High-CPU Medium 2 6 c1.medium High-CPU Extra Large 4 15 c1.xlarge High-Memory Extra Large 4 15 m2.xlarge High-Memory Double Extra Large 4 30 m2.2xlarge High-Memory Quadruple Extra Large 8 30 m2.4xlarge Cluster Compute Quadruple Extra Large N/A N/A cc1.4xlarge Cluster Compute Eight Extra Large 8 30 cc2.8xlarge Cluster GPU Quadruple Extra Large N/A N/A cg1.4xlarge

49 Elastic Network Interfaces ユースケースサービス用と管理用の ENI の分離複数 ENI を前提としたソフトウェアの利用 MAC アドレスでライセンスが固定されたソフトウェア利用 1 台サーバ上での複数 SSL 証明書の利用複数の仮想ホスト設定

50 NACL(Network Access Control) 個々のSubnetごとにアクセス制御が可能 Inbound, Outboundに対して下記の設定が可能 Inbound Port range( ポート番号 ) Source( アクセス元 IPアドレス ) Allow/Deny Outbound Port range( ポート番号 ) Destination( アクセス先 IPアドレス ) Allow/Deny

51 NAT インスタンスの作成 1. AWS では NAT 用のインスタンスを用意していますので ami-vpc-nat で検索します例 : AMI NAME ami-vpc-nat beta.x86_64-ebs 2. 上記 AMI を使って Public Subnet に NAT インスタンスを起動します 3. NAT インスタンスの Change Source / Dest Check を Disable にします 4. NAT インスタンスに Elastic IP を付けます 5. Public Subnet の Route Table に NAT インスタンスの ID を追加 6. 必要に応じて NAT インスタンスの Security Group を設定

52 NAT インスタンスの作成 / 起動 (1) Internet Internet Gateway Web Server Public Subnet NAT Web Server Private Subnet VPC /16 12 NAT インスタンスを AMI から起動 3NAT インスタンスの Change Source / Dest Check を Disable に設定

53 NAT インスタンスの作成 / 起動 (1) - 3 NAT インスタンスを右クリックして Change Source / Dest Check を選択し Yes, Disable を選択します

54 NAT インスタンスの作成 / 起動 (2) 4Elastic IP の追加 Internet Internet Gateway 5Route Table に NAT インスタンスを追加 Web Server Public Subnet Elastic IP NAT Web Server Private Subnet VPC /16 Destination Target /16 Local /0 igw-xxxxx Destination Target /16 Local /0 NAT(Instance ID)

Private Subnet VPC 10.0.0.0/16 Destination Target 10.0.0.0/16 Local 0.0.0.0/0 igw-xxxxx Destination Target 10.

55 NAT インスタンスの作成 / 起動 (3) 6 必要に応じて NAT インスタンスの Security Group を設定 Internet Internet Gateway Web Server Public Subnet Elastic IP NAT Web Server Private Subnet VPC /16 Destination Target /16 Local /0 igw-xxxxx Destination Target /16 Local /0 NAT(Instance ID)

56 NAT インスタンスの作成 / 起動 (4) NAT 経由でのアクセスを確認ください Internet Internet Gateway IGW に Routing されていないので直接外部と通信できない Web Server Public Subnet NAT Web Server Private Subnet VPC /16 Destination Target /16 Local /0 igw-xxxxx Destination Target /16 Local /0 NAT(Instance ID)

仮想化，クラウドとセキュリティ

仮想化，クラウドとセキュリティ Amazon Web Services のセキュリティ - 大学のクラウド利用におけるセキュリティの押さえどころ - 資料 7 玉川憲 (@KenTamagawa) 技術統括部長 / エバンジェリストアマゾンデータサービスジャパン株式会社平成 23 年度第 3 回学術情報基盤オープンフォーラム AWS セキュリティセンター日本語のホワイトペーパーもありセキュリティは AWS において最重要項目

AWSマイスターシリーズ ～CloudFront & Route53～

AWSマイスターシリーズ～CloudFront & Route53～