[AWS]ルーアカウント作成後にするセキュリティ設定

はじめに

　AWSの学習のために検証用のアカウントを用意していただきました。
気軽に検証ができるのがクラウドのメリットなので、これからサーバーを立てたりと色々と検証をしていこうと考えています。検証をするだけでもいいのですが、せっかくなので検証内容を記事にしていきたいと思います！

今回は、検証の前にルートアカウント作成後にやっておくべき設定について記事にしたいと思います。
これからアカウント作成する初心の方の参考になると嬉しいです。

下記の公式ハンズオンの中から自分に必要だと考える設定を実施しています。
料金が発生するサービスもあるのでご注意ください。

実施内容

・作業用ユーザーの作成
・AWS Budgetsでコストのアラートを設定
・AWS　Cloudtrailの確認

実施詳細

・作業用ユーザーの作成
　作業用のIAMユーザーを作成します。ポリシーは「AdministratorAccess」をアタッチしました。
ルートアカウントはどのような作業でも可能な権限を持ったユーザーです。AWSでは、ルートアカウントを日常的に利用することは推奨されてないので、管理者権限を持ったユーザーを作成しておき、今後検証する際は管理者権限のユーザーか新規で権限を狭めたユーザーを作成し実施していく予定です。

AdministratorAccessは、基本的にどのサービスにもアクセスが許可されているマネージドポリシーです。

・AWS Budgetsでコストのアラートを設定
　1ヶ月で利用可能な予算を設定し、設定した値を超える場合にアラートを送付するように設定しました。AWSは従量課金のため利用し続ければ秒、分、時間単位などで課金がされます。そのため、1ヶ月の途中で予算を超える可能性があるので、Budgetsの設定が重要になります。また、意図していなくてもサービスを利用していると、想定より多額の料金が発生するケースもあるのでそういったケースも防ぐ効果があります。

少し細かい設定内容を話すと、料金が設定した予算の50、65、80％を超えた際に指定のメールアドレスにメールを送信するようなアラートを設定しました。これで、早い段階で料金の把握が可能でメールの見逃しも防げると考えています。

・AWS　Cloudtrailの確認
　Cloudtrailのイベント管理はデフォルトでAWSサービス全体の管理イベントをログに記録します。90日間分は無料で確認ができるので、ログが記録されているか念の為確認します。現状では「ConsoleLogin」など少ないログしかないですが、記録されているのを確認できました。90日以上の管理イベントを記録したいや、管理イベント以外の記録も取りたい場合は料金が発生するのでご注意ください。

参考

https://docs.aws.amazon.com/ja_jp/aws-managedpolicy/latest/reference/AdministratorAccess.html
https://aws.amazon.com/jp/cloudtrail/pricing/