1. はじめての
Amazon Web Services
2013.2.26 新宿鮫
@yoshidashingo

2. 自己紹介
プロフィール
JAWS-UG 横浜 代表
アイレット株式会社 cloudpack エバンジェリスト
好きなAWSサービス：Amazon S3
好きなAWSクラウドデザインパターン：Direct
Hostingパターン

3. ==
33

4. http://jaws-ug.jp/jawsdays2013/
ス のユーザーグループ
ア マゾン ウェブ サービ 」が
AWS User Group）
「JAWS-UG（Japan
全国から一同に会して
ンファレンスを開催！
ユーザーカ

6. AWSの足りない部分を補完した
月額費用固定型フルマネージドホスティング
24時間365日サーバー運用・保守
電話/メールによるサポート
初期費用なし(移行作業含む)
月額5万円からのスタート
日本円で請求書発行

7. フルマネージド
サービス/リソース監視
ディスク使⽤用量量、メモリ使⽤用量量、プロセス数、
Webサーバー・DBサーバー死活...
バックアップ/リストア
EBSスナップショットを利利⽤用した⼆二世代（過去
⼆二⽇日分）バックアップ
アクセス制御(ファイアーウォール)
適切切なセキュリティグループを設定、OS・ミド
ルウェアレベルでさらに細かな設定も対応可能

8. 定額課金・請求書払い
Amazon Web Servicesでは...
従量課金では予算計画が立てられない
クレジットカードでUSドル決済では利用料の予測が難しい
月額固定＋日本円請求書発行

9. バースト保障
キャンペーンなど急激なアクセス増加へ合わせてインフ
ラ準備するのは不可能
いつあるかわからないピークのために予め準備できない
追加料金無しでスケールアウト
（7インスタンス日まで）

11. 続きはウェブで
cloudpack クラウドパック

12. 本勉強会の主旨
これからAWSを勉強したい人の勉強会
AWSの基本的な知識および導入事例およびノウハウの
共有
4月以降、毎週水曜日レギュラー化
パートナー各社の導入事例の紹介やサービス紹介、ノウ
ハウの共有
レベル問わず、ユーザー同士のコミュニケーションおよ
び協業を促進（教わった人が教える人に／AWSカルタ
やCDPドンジャラなどをエバンジェライズ！）
もくもく勉強会（教わった人が教える人に／翻訳／オリ
ジナル企画／読書会／ハッカソン／etc...）

13. Amazon Web Services 説明
以下の資料で説明
AWSベーシックトレーニング資料（Linux編）
• http://aws.amazon.com/jp/aws-jp-introduction/
• http://www.slideshare.net/AmazonWebServicesJapan/aws-
basic-20120629
• 短縮URL：http://goo.gl/vQ2RE

14. （参考）NISTによるクラウドコンピュ
ーティングの定義
以下の資料で説明
NISTによるクラウドコンピューティングの定義
• http://csrc.nist.gov/publications/nistpubs/800-145/
SP800-145.pdf （原文）
• http://www.ipa.go.jp/security/publications/nist/documents/
SP800-145-J.pdf （IPAによる翻訳）
• 短縮URL：http://goo.gl/x1SGN
米国商務省が定めた「調達基準」
「クラウド」という言葉に踊らされないこと

15. Confidential

16. Confidential

17. - 休憩 -

18. AWS、サービス多すぎ
→どんなサービスがあ
るか覚えられない

19. AWSカルタ
inspired by HTML5KARUTA powerd by JAWS-UG横浜

20. Try!!
AWSのサービスを「網羅的に」「短時間で」
学ぶのに効果的
AWS Simple Icons v2.0 対応
作り方を公開準備中（http://jaws-ug.jp）、
公開したら支部で、会社で遊んでね！

21. - 休憩 -

22. AWS、サービス多すぎ
→組合せ方が分からな
い

24. AWSクラウドデザインパターンとは
「 AWSクラウドを使ったシステムアー
キテクチャ設計を行う際に発生す
る、典型的な問題とそれに対する解
決策・設計方法を、分かりやすく分
類して、ノウハウとして利用できる
ように整理したものである。 」

26. 要するに
クラウド版（AWS版）
デザインパターン

27. Stampパターン Bootstrapパターン
Floating IPパターン DB Replicationパターン

28. 現在その数
Scale Upパターン Bootstrapパターン
49パターン
Floating IPパターン DB Replicationパターン

30. 実例で紹介

31. ハワトラクイズ
クライアント 株式会社ジェーシービー
制作 spfdesign Inc.

32. 12月末∼1月中旬 3月頭∼中旬

33. サーバー構成
キャンペーン キャンペーン キャンペーン
期間外 期間中 終了後
Web Web Web
Web
ティザー状態 元の状態に
キャンペーン開始時サー 予想以上のアクセス
静的なコンテンツのみ バースペック強化 のため途中で性能アップ 性能下げる

34. 適用したCDP
キャンペーン キャンペーン キャンペーン
期間外 期間中 終了後
Scale Upパターン
Web Web Web
Web
ティザー状態 元の状態に
キャンペーン開始時サー 予想以上のアクセス
静的なコンテンツのみ バースペック強化 のため途中で性能アップ 性能下げる

35. Scale Upパターン
クラウドでは、仮想サーバーのスペ
ック（CPU、メモリーサイズなど）
を必要に応じて切り替えることが可
能である。仮想サーバーを起動した
後でもスペック変更が行える。

36. 社団法人 日本プロゴルフ協会 公式サイト
http://www.pga.or.jp/
社団法人 日本プロゴルフ協会
クライアント
（PGA）

37. サイト特性
MovableTypeによるコンテンツ更新（静的ファイル）
トーナメントがテレビで放送されるときだけアクセス
数が15倍に

38. サーバー構成
平常時 トーナメント期間中
ロードバランサー
Web/DB Web/DB Web Web Web Web Web
コンテンツ同期

39. 適用したCDP
平常時 トーナメント期間中
Multi-Serverパターン
ロードバランサー
Clone Serverパターン
Web/DB Web/DB Web Web Web Web Web
コンテンツ同期

40. Multi-Serverパターン Clone Serverパターン
仮想サーバーを複数台並べ、クラウドサー 負荷分散が考慮されていないシステムを、
ビスとして提供されるロードバランサーを 容易に負荷分散可能なシステムにする。既
用いて適宜負荷を振り分ける。 に存在するサーバーをマスターとし、追加
するサーバーのマシンイメージを用意す
る。

41. UNIQLO CHECK-IN CHANCE
クライアント 株式会社ユニクロ
制作 株式会社マウント

42. サーバー構成
キャンペーン期間外 キャンペーン期間中
サーバースペック強化
Webサーバー台数増加 ロードバランサー
DB/キャッシュサーバー
追加
Web Web Web Web
結果発表のため アクセス状態を見て
静的なコンテンツのみ 途中でスペックダウン
DB(Master) DB(Slave) Cache

43. 適用したCDP
キャンペーン期間外 キャンペーン期間中
Scale Upパターン
サーバースペック強化
Webサーバー台数増加 ロードバランサー
DB/キャッシュサーバー
追加
Multi-Serverパターン
Web
Clone Serverパターン
Web Web Web
結果発表のため アクセス状態を見て
DB Replicationパターン
静的なコンテンツのみ 途中でスペックダウン
DB(Master) DB(Slave) Cache

44. Scale Upパターン Multi-Serverパターン Clone Serverパターン
DB Replicationパターン
地理的ロケーションをまたいだレプリケーショ
ンを行うパターン。このパターンによりデータ
ロストを防ぎ、データアクセスの可用性を担保
する。

45. パターンを駆使すれば

46. こんな構成も

47. こんな構成も

48. こんな構成も簡単にできちゃう

49. ぜひ活用して
みてください

51. - 休憩 -

52. クラウドこわい
→セキュリティ大丈夫？

53. AWSのセキュリティ
以下の資料で説明
AWSの共有責任モデル（ADSJ片山さん資料）
• http://www.slideshare.net/c95029/awsshared-responsibility-
model-16612378
• 短縮URL：http://goo.gl/wngA8

54. クラウドこわい
→実際に構築した事例ある
の？

55. コイニー株式会社様 http://coiney.com/

57. PCI DSS v2.0
クレジットブランド5社（VISA,Master,JCB,AMEX,Discover）に
より策定された、クレジット業界のセキュリティ基準
12の要件から細かくドリルダウンした実装レベルでの明確な規定が
されている→クレジット業界以外でもグローバルなセキュリティ基
準として対応するケースが多い
ISMSと重複部分が多い→すでにISMSに準拠している企業は導入が
しやすい
業務委託先も含めて対応が必要
データの保存・管理・伝送路に含まれるシステムが適用範囲→必ず
しもシステム内の全てのノードで対応が必要とは限らない
米国の州によっては、データの漏洩などが起きた際にPCI DSSの運
用を正しく行っていたことを30日以内に証明できると、被害を被っ
た金融機関からの訴訟を回避することができる→導入へのインセン
ティブが高い
Confidential

58. PCI DSS要件
要件1: カード会員データを保護するために、ファイアウォールをインストールして構成を
維持する
要件2: システムパスワードおよび他のセキュリティパラメータにベンダ提供のデフォルト値
を使用しない
要件3: 保存されるカード会員データを保護する
要件4: オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化する
要件5: アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新する
要件6: 安全性の高いシステムとアプリケーションを開発し、保守する
要件7: カード会員データへのアクセスを、業務上必要な範囲内に制限する
要件8: コンピュータにアクセスできる各ユーザに一意の ID を割り当てる
要件9: カード会員データへの物理アクセスを制限する
要件10: ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および
監視する
要件11: セキュリティシステムおよびプロセスを定期的にテストする
要件12: すべての担当者の情報セキュリティポリシーを整備する
Confidential

59. PCI DSS要件
要件1: カード会員データを保護するために、ファイアウォールをインストールして構成を
維持する
要件2: システムパスワードおよび他のセキュリティパラメータにベンダ提供のデフォルト値
を使用しない
要件3: 保存されるカード会員データを保護する
要件4: オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化する
要件5: アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新する
要件6: 安全性の高いシステムとアプリケーションを開発し、保守する
要件7: カード会員データへのアクセスを、業務上必要な範囲内に制限する
要件8: コンピュータにアクセスできる各ユーザに一意の ID を割り当てる
要件9: カード会員データへの物理アクセスを制限する
要件10: ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および
監視する
要件11: セキュリティシステムおよびプロセスを定期的にテストする
要件12: すべての担当者の情報セキュリティポリシーを整備する
Confidential

60. プロジェクト体制
•PCI DSS準拠⽀支援
•QSA
•PCI DSSレベル1 •インフラ構築
サービスプロバイダ •PCI DSS準拠対策
Confidential

61. AWS/OS/ミドルウェア
での対応について
Confidential

62. システム概念図
Confidential

63. 対応サマリ
Firewall設定
セキュリティソフトウェア導入
アカウント管理
アクセス記録・ログ集約管理
脆弱性対策
Confidential

64. Firewall
一旦すべてアクセス不可
必要な箇所を許可
サーバー毎の通信許可
個別のセキュリティグループ
（サブネットは通信要件毎に分けている）
Confidential

65. セキュリティソフトウェア導入
Trend Micro Deep Security
IPS/IDS/改ざん検知/Firewall/WAF/ログ監視
ServerProtect
ウィルス対策（リアルタイムスキャン）
Confidential

66. http://jp.trendmicro.com/jp/products/enterprise/tmds/pcidss/
Confidential

67. アカウント管理
サーバー毎ではなく個人毎のアカウント
OpenLDAP導入・権限管理
パスワード有効期限
ロックアウト対応
Confidential

68. アクセス記録・ログ集約管理
ログ管理
EC2インスタンス内に1週間分残す
fluentd経由でログサーバーへまとめ、S3へアーカイブ
[参考] FluentdでWeb Storage Archiveパターン
http://blog.cloudpack.jp/2013/01/aws-‐‑‒news-‐‑‒cdp-‐‑‒web-‐‑‒storage-‐‑‒archive-‐‑‒fluentd.html
Confidential

69. アクセス記録・ログ集約管理
Management Consoleアクセス制限とログ記録
多要素認証に加えて誰が何をしたか記録が必須
プロキシ経由のみアクセス可
プロキシサーバー上でアクセスログ記録
[参考] Squid経由でAWSマネジメントコンソールにアクセスしてソースIP制限や認証やログ取得
http://blog.cloudpack.jp/2013/02/aws-‐‑‒news-‐‑‒squid-‐‑‒aws-‐‑‒console-‐‑‒ip-‐‑‒log.html
Confidential

70. 脆弱性対策
ミドルウェア最新化
Apacheはパッケージでは不可だったため、最新版ソー
スをコンパイル
• CVSS 4.0以上（レベルIII危険＋レベルII警告）はすべて対策必須のため
Deep Security仮想パッチ
ソフトウェアのセキュリティパッチ提供前に脆弱性を保
護
パッチ適用後は自動的に外れる
Confidential

71. cloudpack
担当範囲
Confidential

72. プレスリリース
（PCFさんと提携リリース画面キャプチャ）
Confidential

73. ワンストップでサービス提供
エンドユーザー
PCI DSS準拠
インフラ構築サービス
•PCI DSSレベル1 •インフラ構築
•PCI DSS準拠⽀支援
サービスプロバイダ •PCI DSS準拠対策
•QSA
Confidential

74. Thank You!
http://www.cloudpack.jp/
cloudpack.jp
@cloudpack_jp