概要

　「Amazon CloudWatch」（以下、CloudWatch）は、AWS上のクラウドリソースを監視するサービスである。

　AWSでEC2などサービスの利用を開始すると、CloudWatchによって、自動的にメトリクス（測定項目）のデータが取得される。特に利用開始に特別な手続きは必要ない。

　メトリクスには、EC2インスタンスのCPU稼働率、ディスクI/O、ステータス状態など、RDSのコネクション数、「Amazon Elastic Load Balancing」（以下、ELB）のヘルチェックホスト数などがある。データを取得する間隔はメトリクスによって異なるが、1分か5分の間隔でデータを取得する。

　モニタリングデータはマネジメントコンソール上からグラフで確認することが可能だ。複数のモニタリングデータを比較表示したり、表示期間を調整することも可能である。なお、モニタリングデータはAWSのリソースを終了しても2週間保存される。

　また、閾値を設けることが可能であり、閾値に対してアクションを設定できる。例えば、閾値に達した場合システム管理者に通知するアクションなどが設定可能だ。

ユースケース

　EC2インスタンスのデータを取得し、高負荷時や障害時に備えた閾値を設定し、閾値を超えた場合、「Amazon SNSメッセージ通知サービス」を利用してシステム管理者へ通知したり、AutoScalingのスケールアウトの条件として利用することが可能だ。

　独自の監視サーバから、通常取得できないELB、RDS、「Amazon ElastiCache」などのリソース情報をCloudWatch経由で取得して、監視システムに一元化することも可能である。

　請求通知（ビリングアラート：billing alert）機能があり、利用しているアカウントの見積もり金額の通知や、従量課金の金額が一定以上になったら通知することもできる。

AWS Identity and Access Management

概要

　「AWS Identity and Access Management」（以下、IAM）はAWSリソースへアクセスするユーザーを管理するサービスである。

　AWSを組織として利用する場合、従業員が単一のAWSアカウントの認証情報を共有するという問題が発生する。

　その問題を解決するのがIAMだ。IAMではAWSの小アカウントとなるユーザーを作成することができ、作成したユーザーごとにアクセス権限を管理することが可能だ。また、グループを作成することもできる。グループにアクセス権限を設定することで、組織的なアクセス権限の管理を実現する。

ポリシー

　ユーザーやグループにアクセス許可を割り当てるにはポリシーを作成する。ポリシーはアクセス権限を明示的にリスト化したドキュメントである。

　ポリシーでは、対象となるリソースへのアクションの許可／拒否などをJSONのフォーマットで記載する。

　なお、Management ConsoleのIAMサービスでは、複数のポリシーテンプレートを用意しており、管理者ポリシー、EC2のみアクセス許可するポリシー、S3のみアクセス許可するポリシーなどを割り当てることが可能だ。

アクセスキーとシークレットアクセスキー

　IAMユーザーを作成すると、アクセスキーとシークレットアクセスキーが発行される。AWSにAPIやSDKなどでアクセスする場合に必要な情報である。

　アプリケーションからAWSを利用する場合、IAMユーザーを発行して必要最低限のポリシーを割り当てて運用することが望ましい。

パスワード

　作成したIAMユーザーがManagement Consoleを利用する場合、パスワードを設定する必要がある。デフォルトでは無効になっている。

　パスワードを発行することでIAMユーザーもManagement Consoleにログインすることが可能になる。Management Console内は、ポリシーで許可された範囲でアクセスすることができる。

　作成するパスワードに対するポリシーも作成可能だ。パスワードポリシーを設定することで、パスワードに必要な長さ、含まなければいけない文字などを指定できる。IAMユーザーのパスワード管理を各ユーザーに任せる場合は、パスワードポリシーを設定することを推奨する。

MFA（Multi-Factor Authentication）

　各IAMユーザーに他要素認証を設定することが可能だ。AWS MFA（Multi-Factor Authentication）はハードウェアと仮想MFAデバイスの両方をサポートしている。

　仮想MFAデバイスは、スマートフォンなどにOATH TOTP（Time-based One-Time Password）プロトコルをサポートしたアプリケーションであれば利用可能である。無料で利用でき、単一デバイスで複数のトークンに対応する。

　ハードウェアMFAデバイスは、オランダのサードパーティープロバイダーであるGemaltoが提供する、不正開封防止用ハードウェアのキーフォブデバイスである。料金は12.99米国ドルで、金融サービスや企業のIT部門で利用するデバイスと同じタイプになる。個人情報が分かるAWSアカウントにMFAを設定することを推奨する。

横倉 健大郎（よこくら　けんたろう）

サーバーワークス テクニカルグループ

AWSによりスピーディになった案件の構築と運用を携わっている。

物理的な配線、スイッチへの結線から開放され、AWSをプログラミングで利用できるよう勉強中。