2024-08-06

AWS CLI でデバッグを行う

AWS

デバッグモードで実行する（--debug オプションをつける）

$ aws sts get-caller-identity --endpoint-url https://vpce-********-********.sts.ap-northeast-1.vpce.amazonaws.com --debug

ログの見方
- "botocore.auth" のところが実行されたスクリプト

2024-08-06 05:28:12,472 - MainThread - botocore.auth - DEBUG - Calculating signature using v4 auth.
2024-08-06 05:28:12,472 - MainThread - botocore.auth - DEBUG - CanonicalRequest:

該当するソースコードを確認する（git clone してローカルで検索したほうが調査しやすい）
- aws-cli/awscli/botocore/auth.py at v2 · aws/aws-cli · GitHub

参考

2024-08-06

AWS CLI で IAM ユーザーで認証して IAM ロールにスイッチすると --endpoint_url の指定が効かない

AWS

事象

オンプレのサーバから AWS CLI で IAM ユーザーのクレデンシャルで認証後、別AWSアカウントの IAM ロールにスイッチロールすると STS の --endpoint_url パラメータの指定が効かず、グローバルエンドポイントやリージョナルエンドポイントにアクセスし、接続タイムアウトする。
オンプレのサーバから AWS へは Direct Connect -> Transit Gateway -> VPC へ接続し、STS や S3 には VPC エンドポイント（Interface型）経由でアクセスしている。

実行コマンド

EC2 から実行した場合、成功する

$ aws --version
aws-cli/2.15.30 Python/3.9.16 Linux/6.1.97-104.177.amzn2023.x86_64 source/x86_64.amzn.2023 prompt/off
$ aws sts get-caller-identity --endpoint-url https://vpce-********-********.sts.ap-northeast-1.vpce.amazonaws.com --region ap-northeast-1
2024-08-06 05:28:12,474 - MainThread - urllib3.connectionpool - DEBUG - Starting new HTTPS connection (1): vpce-********-********.sts.ap-northeast-1.vpce.amazonaws.com:443

スイッチロール元のAWSアカウントの設定

IAM ユーザー
- IAM ポリシー: switch-role-policy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": [
                "arn:aws:iam::234567890123:role/s3-access-role"
            ]
        }
    ]
}

スイッチロール先のAWSアカウントの設定

IAMロール: s3-access-role
- 許可
  - AmazonS3FullAccess（AWS管理）
- 信頼関係

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/s3-access-user"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

AWS CLI 設定

~/.aws/config

[profile s3_access]
region = ap-northeast-1
role_arn = arn:aws:iam::123456789012:role/s3-role
source_profile=s3_access
services = custom-endpoint

[services custom-endpoint]
s3 =
        endpoint_url = https://bucket.vpce-********-********.s3.ap-northeast-1.vpce.amazonaws.com
sts =
        endpoint_url = https://vpce-********-********.sts.ap-northeast-1.vpce.amazonaws.com

~/.aws/crednential

[s3_access]
aws_access_key_id = ********
aws_secret_access_key =  ********

2024-08-02

STS のエンドポイントを .aws/config で指定する方法

AWS

STSのエンドポイントを .aws/config で指定する方法。

.~/aws/config

[profile dev]
services = custom-endpoint

[services custom-endpoint]
s3 = endpoint_url = 
sts = endpoint_url =

参考

設定ファイルと認証情報ファイルの設定 - AWS Command Line Interface

DX->VPC->S3 への接続がタイムアウトした時の切り分けと対処

AWS

事象

オンプレのデータセンターにある Linux サーバから Direct Connect -> VPC -> VPC Endpoint -> S3 にアクセスしようとするとタイムアウトする。

$ aws s3 ls --profile s3_access --endpoint-url https://bucket.vpce-********.s3.ap-northeast-1.vpce.amazonaws.com s3://s3-data-prod-********-ap-northeast-1 --debug

...

  File "/usr/lib/python3.9/site-packages/urllib3/connection.py", line 174, in _new_conn
    raise ConnectTimeoutError(
urllib3.exceptions.ConnectTimeoutError: (<botocore.awsrequest.AWSHTTPSConnection object at 0x7f9469a838b0>, 'Connection to sts.amazonaws.com timed out. (connect timeout=60)')

確認ポイント

S3 の VPC エンドポイント（Interface型）が作成されているか。
STS の VPC エンドポイント（Interface型）が作成されているか。
AWS CLI で S3 の --endpoint-url で VPC エンドポイントを指定しているか。

切り分け方法

AWS CLI でエラーが出る場合はデバッグモードで実行する

$ aws ... --debug

S3 の VPCE エンドポイントにTCP接続を確立できているか

$ telnet https://bucket.vpce-********.s3.ap-northeast-1.vpce.amazonaws.com 443

STS の VPCE エンドポイントにTCP接続を確立できているか

$ telnet https://vpce-********-********.sts.ap-northeast-1.vpce.amazonaws.com 443

STS へ VPC エンドポイント経由でアクセスできるか

$ aws sts get-caller-identity --endpoint-url https://vpce-********-********.sts.ap-northeast-1.vpce.amazonaws.com --debug

...

2024-08-01 16:03:40,713 - MainThread - urllib3.connectionpool - DEBUG - Starting new HTTPS connection (3): vpce-********-********.sts.ap-northeast-1.vpce.amazonaws.com:443

...

Connect timeout on endpoint URL: "https://vpce-********-********.sts.ap-northeast-1.vpce.amazonaws.com/"

2024-07-31

IAMユーザーのクレデンシャルで認証後、スイッチロールして S3 にアクセスする設定

AWS

AWS CLI で IAM ユーザーのクレデンシャルで認証して、スイッチロールして S3 にアクセスする設定。

実行コマンド

$ aws s3 ls  --profile s3_access --endpoint-url https://bucket.vpce-********-********.s3.ap-northeast-1.vpce.amazonaws.com

IAMロールで認証後にスイッチロールするので、STS の VPC エンドポイントがないと失敗する。

2024-07-31 05:05:46,977 - MainThread - urllib3.connectionpool - DEBUG - Starting new HTTPS connection (2): sts.ap-northeast-1.amazonaws.com:443

AWS 側の設定

IAM ユーザー: s3-upload-user

アタッチする IAM ポリシー
- AmazonS3ReadOnlyAccess（AWS管理）
- s3-upload-policy（カスタマー管理）

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": [
                "arn:aws:iam::123456789012:role/s3-upload-role"
            ]
        }
    ]
}

クレデンシャルを発行して、AWS CLI 側で設定する

IAMロール: s3-upload-role

アタッチする IAM ポリシー
- AmazonS3FullAccess（AWS管理）
信頼関係

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/s3-upload-user"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

VPCエンドポイント

com.amazonaws.ap-northeast-1.s3（Interface型）
com.amazonaws.ap-northeast-1.sts（Interface型）

クライアント側設定

~/.aws/config

[profile s3_access]
region = ap-northeast-1
role_arn = arn:aws:iam::123456789012:role/s3-upload-role
source_profile=s3_access

~/.aws/credential

[s3_access]
aws_access_key_id = ********
aws_secret_access_key = ********

参考

筋トレ分割法

ここ数年自重トレーニングしてたけど、久しぶりにジムを再開したので、分割法をメモ。

分割法

腕・肩
脚・背中
腹筋・背筋
胸

部位ごとの種目

腕
- （ダンベル）アームカール 12kg
- （ダンベル）ハンマーカール 12kg
- （ダンベル）オルタネイティブハンマカール 12kg
- （ダンベル）フレンチプレス 10kg
- （マシン）アシストチン 35kg（アシスト）
- （マシン）アシストディップ 27.5kg（アシスト）
肩
- （ダンベル）アーノルドプレス 10kg
- （ダンベル）ショルダープレス 10kg
- （ダンベル）サイドレイズ 10kg
- （ダンベル）フロントレイズ 10kg
- （ダンベル）リアレイズ 12kg
- （ダンベル）Wレイズ 10kg
- （マシン）ショルダープレス 61kg
胸
- （マシン）チェストプレス 68kg
- （マシン）ペクトルフライ 75kg
腹筋
- （マシン）アブドミナル 90 kg
- （マシン）トーソ・ローテーション 138+5 kg
背筋
- （マシン）バックエクステンション 138+5 kg
背中
- （マシン）ラットプルダウン 150kg
- （マシン）プルダウン 61kg
脚
- （マシン）レッグエクステンション 110kg
- （マシン）シーテッドレッグカール 89kg
- （マシン）シーテッドレッグプレス 155kg
- （マシン）ヒップアブダクション（開く） 124kg
- （マシン）ヒップアブダクション（閉じる） 138+5kg

トレーニングのポイント

回数とセット数
- 10回 x 3 セット（1セット目で10回が限界の重量にして、2セット以降は回数減らしてOK）
インターバル
- 同一部位は中4〜5日空ける（追込んで筋肉痛になって完全回復してから次回同じ部位をトレーニング）
意識すること
- 1セット目10回で限界の重量、効かせること、フォーム、TUT（Time Under Tension）を意識する。

食事

タンパク質と一緒に炭水化物、ビタミンを摂取するよう心がける
筋トレ前に炭水化物を摂る、タンパク質は筋トレ前に肉、筋トレ後に魚
無塩ナッツ、ゆで卵、サラダ（きゅうり・トマト・シーチキン・オリーブオイル）、鶏肉、青魚（サバの煮付け等）、めかぶと納豆の
メニュー例
- 朝：無塩ミックスナッツ、ゆで卵（3個）、サラダ
- 昼：親子丼 or パスタ（鶏もも肉のアーリオ・オーリオ）
- 夜：めかぶと納豆のネバネバ混ぜ、サバの煮付け、白米

減量

16時間断食
朝食前の散歩
食事で炭水化物と油を減らす
- ゆで卵、無塩ミックスナッツ、めかぶと納豆のネバネバ混ぜ、鶏むね肉、サラダ（きゅうり・トマト・ブロッコリー）など中心

参考

www.youtube.com
https://www.youtube.com/@YAMASAWA:www.youtube.com
www.youtube.com
www.youtube.com
www.youtube.com
www.youtube.com

2024-07-28

AWS クラウドプラクティショナー

責任共有モデル

継承される統制
- 物理統制
- 環境統制
共有統制
- パッチ管理
- 構成管理
- 意識とトレーニング
お客様固有
- お客様が特定のセキュリティ環境内でデータをルーティングまたは区分する必要がある、サービスおよび通信の保護またはゾーンセキュリティ。

AWS Well-Architected Framework

運用上の優秀性
- 運用上の優秀性は、開発をサポートし、ワークロードを効率的に実行し、運用に関する洞察を得て、ビジネス価値をもたらすためのサポートプロセスと手順を継続的に改善する能力のことです。
セキュリティ
- セキュリティは、クラウドテクノロジーを活用し、セキュリティ体制の向上を可能にするやり方でデータ、システム、資産を保護する能力のことです。
信頼性
- 信頼性は、意図した機能を期待どおりに正しく一貫して実行するワークロードの能力のことです。これには、ワークロードのライフサイクル全体を通じてワークロードを運用およびテストする能力が含まれます。
パフォーマンス効率
- パフォーマンス効率は、コンピューティングリソースを効率的に使ってシステム要件を満たし、需要の変化と技術の進化に合わせてこの効率性を維持する能力のことです。
コスト最適化
- コスト最適化は、最も低い価格でシステムを運用してビジネス価値を実現する能力のことです。
サステナビリティ
- サステナビリティの柱は持続可能性が高いリソース利用を推進します。これはプロビジョニングされたリソースのメリットを最大化し、必要な合計リソースを最小化することにより、エネルギー消費を削減し、ワークロードのすべてのコンポーネントにおいて効率を向上させ、持続可能性への影響を継続的に改善する能力のことです。

AWS サポートプラン

AWSサポートで提供されるもの

AWS サービスや機能に関する「ハウツゥ」質問
クラウドでアプリケーションをうまく統合、デプロイ、そして管理するためのベストプラクティス
API と AWS SDK の問題のトラブルシューティング
AWS のリソースに関する操作または体系の問題のトラブルシューティング
AWS Management Console や他の AWS ツールの問題へのアドバイス
多数のサードパーティ製アプリケーション (例: OS、ウェブサーバー、E メール、データベース、ストレージ構成))の利用方法のアドバイス
AWS サポートには、以下のものは含まれません。
- コードの開発
- カスタムソフトウェアのデバッグ
- システム管理タスクの実行

AWS CAF

AWSのセキュリティにおける7 つの設計原則
- 強力なアイデンティティ基盤を実装する
- トレーサビリティの実現
- 全レイヤーでセキュリティを適用する
- セキュリティのベストプラクティスを自動化する:
- 伝送中および保管中のデータを保護する
- データに人の手を入れない
- セキュリティイベントに備える

ゾーン

AWS東京リージョンにある Local Zones の存在価値とは【2023年9月時点】 #Network - Qiita

Wavelengthは、標準の AWS コンピューティングおよびストレージサービスを通信事業者の 5G ネットワークのエッジにデプロイします

コスト

総コスト計算ツール
AWS のコストと使用状況レポート
AWS Budgets
- 予め予算を設定して、支出が予算額を上回った場合にアラート通知を設定することができる。

リザーブドインスタンス

リザーブドインスタンスの概要 - YouTube

マイグレーションサービス

AWS Application Migration Service
- アプリケーションとサーバーの移行を支援するサービス

その他

S3 のストレージクラスの種類
- AWS S3 ストレージクラス比較
EBS のボリュームの種類
- Amazon EBS ボリュームの種類 - Amazon EBS
AWS Trust & Safety チーム
セキュリティサービス
- AWS Config
- Amazon GuardDuty
  - AWS CloudTrail 管理イベント、AWS CloudTrail イベントログ、(Amazon EC2 インスタンスからの) VPC フローログ、DNS ログ、などの基礎データソースを分析して処理するセキュリティモニタリングサービス
- AWS Trusted Advisor
- Amazon Inspector
- AWS Security Hub
  - セキュリティのベストプラクティスのチェックを行い、アラートを集約し、自動修復を可能にするクラウドセキュリティ体制管理サービス。
- AWS Control Tower
  - AWS Organizationsと連携して複数アカウントに対するランディングゾーン（事前設定された安全な環境）の設定を自動化するサービス。マルチアカウントの AWS 環境セットアップを自動化して、各アカウントのセキュリティ設定を統制することができる。

- - すべてのAWSアカウントにおける高優先度のセキュリティアラートおよびコンプライアンス状況を包括的に確認するサービス。
- Amazon Detective
  - CloudTrail、VPC Flow Logs、GuardDutyのログや結果を自動的に収集し、潜在的なセキュリティの問題を調査・分析するサービス。

Marketplace で購入できるもの
- ソフトウェア
- サービス
Savings Plans の対象
- EC2
- Lambda
- Fargate
AWS WAF を適用できるサービス
- CloudFront
- ALB
- API Gateway
- AppSync
ユーザーアクティビティの記録
- IAMアクセスアナライザー
  - 外部エンティティと共有されているS3バケットやIAMロールなどを分析し、セキュリティ上のリスクであるリソースとデータへの意図しないアクセスを特定
- Access Advisor の Service Last Accessed Data
  - IAM エンティティが最後にAWSサービスにアクセスした日時を表示

ルートアカウントでしかできないタスク
- ルートユーザー認証情報が必要なタスク - AWS Identity and Access Management

リソースのシェア
- Organizations のメンバーアカウント間で [Resource Access Manager:title=Resource Access Manager] と連携してリソースを共有できる。

参考

事象

実行コマンド

スイッチロール元のAWSアカウントの設定

スイッチロール先のAWSアカウントの設定

AWS CLI 設定

参考

関連

事象

確認ポイント

切り分け方法

実行コマンド

AWS 側の設定

IAM ユーザー: s3-upload-user

IAMロール: s3-upload-role

VPCエンドポイント

クライアント側設定

参考

関連

分割法

部位ごとの種目

トレーニングのポイント

食事

減量

参考

ゾーン

コスト

リザーブドインスタンス

マイグレーションサービス

その他