ACMのアスタリスク証明証のスコープと独自ドメインレベル
SSLにしたい以下の独自ドメイン sample.com admin.sample.com dev01.sample.com dev02.sample.com admin.dev01.sample.com admin.de […]
AWS開発もアウトバウンドのエンドポイントセキュリティを徹底するべき
AWS開発でプライベートサブネット配下にウェブサーバーやDBなどを配置して、ELBをパブリックサブネットに配置することは定番だと思います。そして、ClientVPN、サイト間VPN、Direct Connectなどによる […]
AWSのIAMセキュリティ運用設計の実践的な基本ルール
エンタープライズ案件におけるAWSのIAMセキュリティ運用設計のざっくり基本ルールです。ご参考ください。主にCIS AWS Foundations Benchmark コントロールの延長線上でAWSをセキュアにより便利に […]
AWSルートユーザーMFAデバイス紛失からMFA解除まで
AWSルートユーザーのMFAデバイスだったiphone6を処分して、iphone6で使っていたSIMカードは別のandroidスマホに引き継いでいました。残念ながらiphone6のMFA設定は引き継がず、新しいMFAをi […]
暗号化されたS3バケットへのアクセスログを暗号化されたS3バケットに保存
暗号化されたS3バケットのサーバーアクセスログの設定 ログを吐き出す側の暗号化されたS3バケット ログを受け止めて貯める側のS3バケット 上記2つの設定を比べます。暗号化方式の違いに注意してください。 S3バケットのサー […]
バージニア北部リージョンのCloudWacthLogsをKMSで暗号化出来ない
CloudFrontでSSLを使う場合、バージニア北部リージョンでACM発行となる。そのおかげで、Route53クエリログがバージニア北部にも出来るが、暗号化されていない。既存ロググループの暗号化AWS CLIコマンドを […]
S3暗号化とCloudFrontとACM(SSL）の静的ウェブホスティングの注意点
CloudFront、ACM(SSL）、S3でSSLによる静的ウェブホスティングでブラウザにうまく表示されない場合の気をつけるべきポイントです。 CloudFrontとACMでSSLによる静的ウェブホスティングを行うS3 […]
Route53向けネームサーバー未設定時点のACM「Eメールの検証」は要注意
別の環境からAWSへexample.comのウェブシステムをマイグレーションする準備段階で、AWS内に引越ながら構築している途中です。 独自ドメインexample.comのレジストラのネームサーバーをRoute53に向け […]
NatゲートウェイからNatインスタンスに変えた
EC2のNATインスタンスAMI選び方 Amazon Linux AMI 2018.03 Release Notes で希望するリージョンで amzn-ami-vpc-natに該当するAMIを検索して、一番新しい年月日の […]
プライベートサブネットEC2インスタンスでセッションマネージャーを使うための経路確保確認
SSM Agent バージョン 3.0.222.0 、AmazonLinux2でした。SSMエージェントが対象のプライベートサブネットのEC2インスタンスにインストールされ、有効化（active）になっているか？バージョ […]
CloudWatchロググループとプライベートサブネットEC2インスタンスの経路確保確認
プライベートサブネットのEC2インスタンス（AmazonLinux2)、VPC、CloudWatch Logsの３者間を意識して経路確保を行う。プライベートサブネットのEC2インスタンスでCloudWatchエージェント […]
CloudWatchロググループをKMSで暗号化
CloudWatchロググループのコンソール画面から既存のロググループを暗号化する設定は出来ません（コンソール画面から新規でログループを作るときは出来ます）。ですが、既存ロググループの暗号化はAWS CLIなら出来ます。 […]
SSMセッションマネージャーでKMS encryption（暗号化）有効化したらhandshakeエラー
SSM（AWS Systems Manager）のSession Managerで、KMS encryption（暗号化）すると上記のhandshakeエラーが出ます。無効化するとprivate subnet経由でシェル […]
「非SSLのRoute53→S3」を「SSLのRt53→CloudFront（ACM）→S3」に変更するときエラーが出た
既に、ACM東京リージョンでexample.comと*.example.comを1つにまとめた（アスタリスク）SSL証明書がある状態でした。Route53のパブリックホストゾーンで、Aレコードのエイリアスでexample […]
ネットワークACLでRDPを拒否
たいしたことではないですが、大事です。AWSのネットワークACLで使っていないRDP3389のプロトコルポートを閉じます。ネットワークACLは数字が小さいほど優先順位が高くなりますので、デフォルトの「100 すべてのトラ […]
IAMポリシーでIPアドレス制限
IAMポリシーでいろいろな制限をする時に調べました。詳細は、IAM JSON ポリシーの要素: 条件演算子 で確認できます。間違っていたら教えてください。 IAMポリシーでIPアドレス制限 aws:SourceIpの中は […]
AWS CodeCommitにリモートリポジトリを作ってローカルリポジトリからgit pushするまで
手元にあるローカル環境のマシンはWindows10 ProでAWS CodeCommitは東京リージョンの場合です。あらかじめローカル環境Windows10 ProにGit for Windowsをインストールしておいて […]
NatGateway経由でyum update できないときの確認事項
AWSでNatGatewayをパブリックサブネットに構築して、プライベートサブネットでアプリWEBサーバーとしているAmazonLinux2のEC2のyum updateを出来ないときの確認事項です。コスト削減のために、 […]
マルチAZのmysqldumpでWarningが出た
マルチAZのRDS（MySQL）は、バイナリログ(binlog)レプリケーションでGTIDs（Global Transaction ID）を使っています。そして、マルチAZ状態でmysqldumpコマンドを使うと次の様に […]
ALBとLambda(python)だけでメンテナンスページ
AWSでRoute53とACMとALBとEC2を使ってSSLにしているWEBアプリケーションで、メンテナンス画面の運用を簡単便利にするため、下記5点をALBとLambda(python)で可能にします。 メンテナンス画面 […]