-
【インフラ】よくある本番のネットワーク構成
12.04
ネットワーク設計 イメージ図 Public Subnet(Ingress用) ここにALBなど外部からのアクセスするサービスを配置します。 Private Subnet(アプリ用) フロントアプリ、内部ALB、バックエンドアプ…
-
CloudFormation AWS公式で用意されているサービス Cloud Development Kit(CDK) AWS公式のアーキテクチャ構築ツール。CloudFormationと異なり自分の使い慣れたプログラミング言語(Ty…
-
【インフラ】「負荷テスト」について
12.04
ツール 以下のようなツールがあるので実際に想定されるリクエスト量を流す。 Locust Apache HTTP server benchmarking tool(ab) Apache JMeter 事前の少量チ…
-
ECSタスク定義でルートファイルシステムアクセスを読み取り専用にする。 この設定をしておくことで、仮に不正なプログラムが混入した場合でも、ファイル改竄に対する脅威を小さくできる。 もし、アプリケーション側の仕様としてルートファイルシ…
-
【セキュリティ】「ECS」へのセキュリティ対策
12.04
OSレイヤ AWS側の責務であるため、利用者側の対策は不要 無制限管理アクセス対策 IAMユーザーが割り当てられた利用者の職務ごとにIAMグループを割り当て、付与するIAMポリシーに従ってECSの操作スコープを限定することで管理アクセ…
-
【インフラ】環境変数の埋め込み
12.04
対象 こうした情報はアプリケーションコードやDockerfileに埋め込んでしまうのは非常に危険。 APIアクセスキー データベースへのアクセス情報 対策 Secrets Managerを使う。 ECSタスク内に…
-
【セキュリティ】「GuardDuty」の活用
12.04
GuardDutyとは？ 以下のログなどから悪意ある通信を識別・検知するマネージドサービス。マルウェアを検知する有効な手段の一つ。 VPCフローログ CloudTrailのイベントログ DNSログ …
-
アプリケーションはrootユーザーで実行しないこと。 もし、rootユーザーで実行されていると以下のような操作ができてしまい侵害時の影響が増える。 システム領域への書き込み プロセス操作 ベストプラクティス The…
-
作成されたコンテナイメージ アプリケーションをCode Buildなどでビルドしたイメージにはアプリケーション自体に加えて、アプリケーションに必要なライブラリが静的なアーカイブとして同梱されます。 時間が経つにつれて、ライブラリのバ…
-
本番操作をしたい場合は下記の点に気を付けなければなりません。 直接インターネットから接続できない構成にする。 セキュリティ的に。直接インターネットからアクセスできてしまうと不特定多数からの内部アクセスにさらされることになりかねなくなる。…