AWS によるマイクロソフトアーキテクチャの最適化

Size: px

Start display at page:

Download "AWS によるマイクロソフトアーキテクチャの最適化"

しまなすえたけ
4 years ago
Views:

AWS によるマイクロソフトアーキテクチャの最適化アマゾンウェブサービスジャパン株式会社ソリューションアーキテクト渡邉源太

2 自己紹介名前所属渡邉源太アマゾンウェブサービスジャパン株式会社ソリューションアーキテクト好きな AWS サービス Amazon WorkSpaces/AppStream 2.0

3 前提条件とセッションのゴール想定する前提条件 Active Directory/SQL Server などマイクロソフトアーキテクチャの設計構築に関する知識経験一般的な IT インフラに関する知識セッションのゴールマイクロソフトアーキテクチャを AWS 上に展開するための最適な設計について理解する AWS のマネージドサービスを利用するメリットについて理解する

4 Agenda アーキテクチャ概要 Active Directory on AWS SQL Server on AWS まとめ

5 アーキテクチャ概要

6 世界中に広がる AWS の拠点 AWS クラウドは世界中の 16 の地理的リージョン内の 42 のアベイラビリティーゾーンで運用されておりさらに 3 つのリージョンと 8 つのアベイラビリティーゾーンが追加される予定です

7 リージョンとアベイラビリティゾーン (AZ) リージョンは複数のアベイラビリティゾーン (AZ) で構成されています AZ は複数のデータセンターによって構成され高い耐障害性を提供できる設計になっています AZ Transit AZ AZ AZ Data Center Data Center AZ Transit Data Center Data Center

8 Amazon EC2(Elastic Compute Cloud) アベイラビリティゾーン A アベイラビリティゾーン B リージョン任意のゾーンに分散配置可能 1 インスタンス : 仮想コンピューティング環境数分で起動し 1 時間ごとの従量課金で利用可能追加削除スペック変更が数分で可能管理者権限 (root / Administrator) で利用可能

Windows ワークロードのための AWS サービスオファリングセキュリティ AWS Identity and Access Management (IAM), AWS CloudHSM, AWS Key Management Service (KMS), security groups, AWS Marketplace ビジネスアプリケーション Amazon EC2 Windows,

9 Windows ワークロードのための AWS サービスオファリングセキュリティ AWS Identity and Access Management (IAM), AWS CloudHSM, AWS Key Management Service (KMS), security groups, AWS Marketplace ビジネスアプリケーション Amazon EC2 Windows, Amazon RDS, AWS CloudFormation, AWS CloudFront 社内アプリケーション Amazon EC2 Windows, AWS Directory Service, Amazon RDS, AWS Marketplace エンドユーザーコンピューティング Amazon WorkSpaces, Amazon AppStream, AWS Marketplace, AWS Mobile Services, SaaS DevOps AWS Elastic Beanstalk, AWS CodeDeploy, AWS CloudFormation インフラストラクチャ Amazon EC2, Amazon S3, Amazon RDS, Amazon VPC, Amazon Direct Connect, AWS Directory Service, AWS IAM, AWS Service Catalog

マイクロソフトアーキテクチャ例 Public Subnet VPC NAT Gateway IIS Web

Endpoint Amazon S3 Internet Gateway RDGW Always On

Office Remote Users Auto Scaling RDGW AWS Direct Connect IIS

10 マイクロソフトアーキテクチャ例 Public Subnet VPC NAT Gateway IIS Web Availability Zone IIS App MS SQL AWS Directory Service VPC Endpoint Amazon S3 Internet Gateway RDGW Always On Availability Group Virtual Private Gateway VPN Corporate Office Remote Users Auto Scaling RDGW AWS Direct Connect IIS Web IIS App MS SQL VPC NAT Gateway Public Subnet AWS Directory Service Availability Zone

11 Amazon VPC の利用例 SFA 既存 DC から AWS へ接続し自社環境として利用様々なメリット低コスト / 短期間導入セキュリティ向上運用工数削減老朽化対応コスト既存データセンター社内イントラ専用線会計 / 人事給与各種業務処理 Internet BI Active Directory ポータル各拠点 / 関連会社監視システムファイル共有 Amazon Cloudwatch AWS Management Console

12 Remote Desktop Gateway Remote Desktop Protocol (RDP) over HTTPS を使用して VPN 接続なしにセキュアで暗号化された接続を確立アベイラビリティゾーン (AZ) 障害の際には他の AZ にフェールオーバーしたリソースに Remote Desktop Gateway からアクセス可能 Internet Gateway Remote Management & Administration Elastic IP Elastic IP RDGW RDGW Public Subnet Public Subnet

13 AWS Identity and Access Management (IAM) AWS 操作をよりセキュアに行うための認証認可の仕組み AWS 利用者の認証とアクセスポリシーを管理 AWS 操作のためのグループユーザーロールの作成が可能グループユーザーごとに実行出来る操作を規定できるユーザーごとに認証情報の設定が可能開発チーム運用チーム

14 AWS コンソールへのフェデレーション AWS ルートアカウントや IAM ユーザークレデンシャルの代わりに Active Directory のユーザー名とパスワードで AWS のマネジメントコンソールにサインインが可能 AWS は SAML 2.0 (Security Assertion Markup Language) を使用した ID フェデレーションをサポート ADFS (4) AssumeRoleWithSAML STS DC/GC /DNS ADFS AD (3) SAML トークン (1) ブラウザからリクエストクライアント (6) リダイレクト

15 AWS CloudFormation EC2 や ELB といった AWS リソースの環境構築を設定ファイル ( テンプレート ) を元に自動化できるサービステンプレートを自由に作成できるため自分好みのシステム構成を自動的に構築できるテンプレートには起動すべきリソースの情報を JSON フォーマットのテキスト形式で記述するテンプレートベースのプロビジョニングインフラをコード化宣言柔軟性簡単に利用可能

16 CloudFormation: コンポーネントとテクノロジーテンプレート AWS CloudFormation スタック JSON 形式のテキストパラメータの定義リソースの作成実際の設定フレームワークスタックの作成スタックの更新エラー検知とロールバック AWS サービスの設定サービス全体での統合サービスのイベント管理カスタマイズ

17 AWS CloudFormation Designer テンプレート内のリソースを可視化テンプレートの修正をドラッグ & ドロップで対応可能サンプルテンプレートのカスタマイズが容易

18 AWS クイックスタートリファレンスセキュリティと可用性に関する AWS のベストプラクティスにしたがって以下のようなワークロードをデプロイ可能 Active Directory ドメインサービス Active Directory フェデレーションサービス SQL Server SharePoint Server Exchange Server Lync Server Windows PowerShell DSC Remote Desktop ゲートウェイ

19 Active Directory on AWS

20 Active Directory on AWS デスクトップや社内アプリケーションへのシングルサインオン (SSO) アプリケーションやリソースへのアクセス管理グループポリシーによるコンピュータのポリシー管理

21 クラウドワークロードのための Active Directory ドメインサービス (AD DS) シナリオ 1: 新規の AD DS を AWS に展開シナリオ 2: オンプレミスの AD DS を AWS クラウドに拡張シナリオ 3: AD DS を AWS Directory Service で AWS に展開 AWS Directory Service for Microsoft Active Directory (AWS Microsoft AD)

22 シナリオ 1: 新規の AD DS を AWS に展開 EC2 に AD DS を新しくインストールするシナリオオンプレミスに AD DS は存在せず VPC のみにフォレスト / ドメインが存在 DC/GC /DNS DC/GC /DNS Availability Zone A Availability Zone B

23 高可用性ドメインコントローラーを複数のアベイラビリティゾーン (Multi-AZ) に配置することで高可用性と耐障害性を提供グローバルカタログサーバー (GC) と DNS を各 AZ に配置もし各 AZ にこれらのサーバーを配置しない場合は AD DS クエリと認証のトラフィックは AZ をまたぐことになるまた AZ 障害の場合はこれらのサーバーが機能しなくなる DC/ GC/ DNS Availability Zone DC/ GC/ DNS Availability Zone

24 バックアップ Volume Shadow Copy サービス (VSS) により Active Directory サービスの起動中にバックアップをとることが可能 Windows Server バックアップその他の Active Directory 互換のバックアップツールを使用している場合はそのまま使用可能バックアップツールによって取得されたバックアップデータが保管されているボリュームのスナップショットを取得しデータを保全 DC VSS でバックアップを EBS に保存スナップショットを取得 Amazon EBS Snapshot

25 リストア :DC のシステム全体のスナップショットは取得しない DC のシステム全体のスナップショットを取得しない USN ロールバックを誘発するロールバックが発生した DC はドメイン環境から隔離され複製パートナーとして見なされなくなるスナップショットには 3 台目の DC に関する情報が保存されていない DC の数は 1 台と認識 DC ドメインに追加これをリストアすることでDBに不整合 DC の数は 2 台と認識 DC DC DC の数は 3 台と認識スナップショット取得 DC ドメインに追加

26 リストア : ディレクトリサービス復元モード (DSRM) の利用 EC2 Windows インスタンスで DSRM をサポート DC をディレクトリサービス復元モード (DSRM) でブートし権限のあるリストアを実行権限のあるリストアとは過去の時点の DC の情報を他の DC に復元することこれを行わない場合他の DC が持つ最新の情報でリストアされた DC の内容が上書きされる

27 シナリオ 2: オンプレミスの AD DS を AWS クラウドに拡張既存のオンプレミスの AD DS を AWS の VPC に拡張するシナリオ VPC 上のサーバーは VPC 上にあるドメインコントローラーや DNS に接続可能 DC/GC /DNS DC/GC /DNS DC Availability Zone A Availability Zone B オンプレミスのデータセンター

28 サイトのトポロジ AWS ではアベイラビリティゾーンをサイト ( 個別のデータセンター ) とみなすサイト内の PC やメンバーサーバーは同じサイトにある DC に優先的にリクエストを投げるサイト間レプリケーション DC/GC /DNS DC/GC /DNS DC/GC/ DNS Availability Zone A サイト Availability Zone B サイトサイトオンプレミスのデータセンター

29 シナリオ 3:AD DS を AWS Directory Service で AWS クラウドに展開 EC2 に AD DS を構築するのではなく AWS Directory Service (Microsoft AD) を利用 Microsoft AD は Windows Server 2012 R2 をベースとするフルマネージドのディレクトリサービス C-DCA C-DCB Availability Zone A Availability Zone B

管理ツールを使用してグループポリシー信頼関係シングルサインオンなどの機能を利用可能 Active

30 AWS Directory Service Microsoft AD フルマネージドのディレクトリサービス AWS Directory Service 標準の Active Directory 管理ツールを使用してグループポリシー信頼関係シングルサインオンなどの機能を利用可能 Active Directory 認証を利用した AWS アプリケーションへのアクセス (Amazon WorkSpaces, WorkDocs, WorkMail)

31 Microsoft AD: オンプレミスとの信頼関係 DC1 Tokyo C-DCA company.cloud C-DCB company.local Direct Connect Availability Zone A Availability Zone B DC2 Osaka Corporate Network

32 Active Directory フェデレーションサービス (ADFS) セキュリティで保護された ID 連携 ( フェデレーション ) と Web シングルサインオン (SSO) を提供 AD DS/AD LDS で認証されたユーザーに対してセキュリティトークンを発行 (SAML 1.1/2.0) Office 365 や Gsuite などへのシングルサインオン (SSO) にも利用される

33 ADFS リファレンスアーキテクチャ VPN 接続なしに外部のユーザーが Web Application Proxy(WAP) を経由して Private Subnet に DC/GC /DNS ADFS Elastic IP WAP Public Subnet 配置された ADFS にアクセス可能 DC/GC /DNS ADFS Elastic IP WAP 外部のユーザー Public Subnet

34 SQL Server on AWS

35 SQL Server ソリューションの選択 Amazon RDS for SQL Server 以下にフォーカス : ビジネスバリューのタスクハイレベルのチューニングタスクスキーマの最適化データベースエクスパートが自社内にいない場合 SQL Server on Amazon EC2 フルコントロールが必要 : DB インスタンスバックアップレプリケーションクラスタリング Amazon RDS にはないオプションを使用する場合

36 SQL Server on Amazon EC2 ライセンスのオプション Windows および SQL Server 込みの Amazon Machine Instance (AMI) Windows AMI に SQL Server をインストール (BYOL) Windows または混合モード認証仮想マシンのセキュリティストレージネットワークポートなどの管理完全な SQL Server 管理者権限

37 SQL Server の高可用性と災害対策複数のアベイラビリティゾーン (Multi-AZ) の利用インスタンスレベルと AZ レベルの耐障害性同期レプリケーションオプション Enterprise Edition: AlwaysOn 可用性グループ Standard Edition(~2014): サードパーティのブロックレベルレプリケーションを使用したフェイルオーバークラスタインスタンス

38 Multi-AZ AlwaysOn 可用性グループ EC2 プライマリレプリカ EC2 セカンダリレプリカ同期コミット自動フェイルオーバー Availability Zone 1 Availability Zone 2 AWS Region

39 自動フェイルオーバーのシナリオ SQL Server AlwaysOn 可用性グループにより以下のシナリオをサポート単一インスタンスの障害からの保護クラスタノード間の自動フェイルオーバーセカンダリのアベイラビリティゾーン (AZ2) に配置されているインスタンス障害からの保護と AZ1 への自動的なフェイルオーバープライマリのアベイラビリティゾーン (AZ1) 全体の障害でプライマリノードと監視ファイル共有を失った場合は自動的にフェイルオーバーされない

40 Multi-Region AlwaysOn 可用性グループ EC2 プライマリレプリカ EC2 セカンダリレプリカ EC2 セカンダリレプリカ Primary: WSFC: AG Listener: 同期コミット自動フェイルオーバー Primary: WSFC: AG Listener: 非同期コミット手動フェイルオーバー Primary: WSFC: AG Listener: Availability Zone 1 Availability Zone 2 Availability Zone 1 AWS Region A Elastic IP VPN Elastic IP AWS Region B

41 サードパーティ製品によるフェイルオーバークラスタインスタンス EC2 プライマリノードデータレプリケーション EC2 セカンダリノード Amazon EBS Amazon EBS Availability Zone 1 Availability Zone 2 AWS Region SIOS DataKeeper Cluster Edition など

42 Amazon RDS for SQL Server Active Directory との統合自動フェイルオーバー Amazon RDS 自動パッチ適用自動バックアップポイントインタイムリカバリ

からオンプレミスのすべてのパターンでバックアップおよび復元することが可能すべての SQL Server

43 SQL Server のネイティブバックアップと復元 SQL Server のネイティブバックアップを取得し Amazon S3 バケットに保管可能に RDS から RDS オンプレミスから RDS RDS からオンプレミスのすべてのパターンでバックアップおよび復元することが可能すべての SQL Server エディションで AWS KMS を使用するバックアップの暗号化をサポート災害対策データベース移行テスト環境構築などに活用

44 ローカルタイムゾーン対応 RDS for SQL Server のタイムゾーンを任意のタイムゾーンに合わせることができるインスタンスを作成した後でタイムゾーンを変更することはできない OS レベルでタイムゾーンを変更するためすべての日付列や値に影響する

45 Multi-AZ SQL Server on Amazon RDS Amazon Amazon RDS 同期コミット RDS マネージドサービスプライマリ自動フェイルオーバーセカンダリ Availability Zone 1 Availability Zone 2 AWS Region

46 SQL Server EC2 と RDS との比較 EC2 RDS ライセンス込みの利用 BYOL インスタンスへのフルコントロール自動バックアップセルフマネージドの AlwaysOn 可用性グループ AWS マネージドの Multi-AZ デプロイメント

47 まとめ

48 例 1: EC2 上の AD によるレプリケーションまたは信頼関係 Auth/ LDAP Availability Zone WEB APP DB DC IIS Server App Server SQL Server Domain Controller Auth/ LDAP Remote Users / Admins アプリケーション /24 信頼関係またはレプリケーション DC VPN Connection Auth/ LDAP Domain Controllers WEB APP DB DC corporate data center IIS Server App Server SQL Server Domain Controller /24 Availability Zone

49 例 2: AWS Microsoft AD によるオンプレミスとの信頼関係 Availability Zone AWS Managed Services WEB IIS Server APP App Server Auth/ LDAP RDS SQL Server Domain Controller DB DC Remote Users / Admins アプリケーション /24 信頼関係 DC VPN Connection AWS Managed Services Domain Controllers WEB APP Auth/ LDAP Domain Controller DC corporate data center IIS Server App Server RDS SQL Server DB /24 Availability Zone

例 3: AWS Microsoft AD によるクラウド全面移行 Public Subnet NAT

Server RDGW IIS Server App Server WorkSpaces DC Microsoft AD

50 例 3: AWS Microsoft AD によるクラウド全面移行 Public Subnet NAT Availability Zone WEB APP AWS Managed Services DB RDS SQL Server RDGW IIS Server App Server WorkSpaces DC Microsoft AD DC / /24 Public Subnet AWS Managed Services NAT WEB APP DC Microsoft AD DC RDGW IIS Server App Server WorkSpaces DB RDS SQL Server / /24 Availability Zone

51 まとめ AWS はマイクロソフトアーキテクチャに最適化された幅広いスケーラブルなサービスを提供 AWS クイックスタートリファレンスではセキュリティと可用性に関するベストプラクティスにしたがって Active Directory や SQL Server などのワークロードをデプロイ可能 AWS の提供するマネージドサービスを活用することで効率的な管理が可能

52 本セッションの Feedback をお願いします受付でお配りしたアンケートに本セッションの満足度やご感想などをご記入くださいアンケートをご提出いただきました方にはもれなく素敵な AWS オリジナルグッズをプレゼントさせていただきますアンケートは受付又はパミール 3F の EXPO 展示会場内にて回収させて頂きます

54 Microsoft AD を使用する場合の考慮事項 Domain Admins の権限は AWS 側が保持オンプレミスとの信頼関係構築他のドメインへの参加スキーマの拡張機能レベル権限の委譲 Microsoft AD のフォレストと信頼関係を構築可能 Microsoft AD の機能 / 制約既存のドメインにMicrosoft ADのDCを参加させることは不可フォレスト間で信頼関係を構築するのは可能 URLで申請する事で可能 Windows Server 2012 R2 機能レベル権限の委譲が可能 DNS Group Policy の利用 DNS 構成 ( 追加削除レコードゾーンフォワーダの更新 ) の管理 DNS イベントログの参照セキュリティイベントログの参照が可能それ以外のログは参照不可グループポリシーオブジェクトの作成と OU へのリンクが可能ただしドメインレベルのリンクは不可能ドメインユーザーのパスワードポリシーの変更は不可 ( ドメインレベルの GPO で設定する必要があるが権限なし ) ユーザー数最大で 50,000 ユーザー 200,000 のオブジェクト ( ユーザーコンピュータその他 )

55 RDS for SQL Server と SQL Server on EC2 の比較 (1/2) Amazon RDS for SQL Server SQL Server on Amazon EC2 マネージド自動バックアップ Yes No ( メンテナンスプランを構成して管理またはサードパーティソリューションの利用 ) Multi-AZ による自動フェイルオーバービルトインのインスタンスとデータベース監視メトリックス Yes Yes 自動ソフトウェアパッチ Yes No No ( 手動によるフェイルオーバー管理 ) No (CloudWatch へのメトリックスのプッシュまたはサードパーティソリューションの利用 ) 構成済みパラメータ Yes No ( デフォルトのSQL Serverインストール ) DBイベント通知 Yes No ( 手動でDBイベントをトラックして管理 )

56 RDS for SQL Server と SQL Server on EC2 の比較 (2/2) Amazon RDS for SQL Server SQL 認証 Yes Yes Windows 認証 Yes Yes TDE ( 保管データの暗号化 ) Amazon KMS を使用したストレージ暗号化 Yes (Enterprise Edition のみ ) SQL Server on Amazon EC2 Yes (Enterprise Edition のみ ) Yes ( すべての Edition) Yes ( すべてのエディション ) SSL ( 通信データの暗号化 ) Yes Yes データベースレプリケーション No Yes ログシッピング No Yes データベースミラーリング Yes (Multi-AZ) Yes AlwaysOn 可用性グループ No Yes

PowerPoint Presentation

PowerPoint Presentation Active Directory on AWS アマゾンデータサービスジャパン株式会社吉松龍輝 2014 年 7 月 17 日 Session #TA-04 2014 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified, or distributed in whole or in