煩悩のコントロール

ウィンストン・チャーチル
成功とは、熱意を失わずに失敗から失敗へとつまずくことです。

ヘンリーフォード
失敗は、今度はより賢く再試行する機会にすぎません。

ビル・ゲイツ
失敗したら落ち込んでいる場合ではなく、いちはやく失敗の原因を探ることが大事である。

John C. Maxwell (ジョン・C・マクスウェル)
人は自分の間違いを認めるのに十分成熟し、そこから利益を得るのに十分な賢さ、そしてそれを正すのに十分な強さを持っていなければなりません。

目次

1. はじめに
2. 失敗することのメリット
3. 効果的な努力のための内部要因と外部要因の分析
4. 困難を乗り越えるための忍耐力と回復力を身につける
5. 創造性と問題解決能力を向上させる
6. こうやって自分なりのフローを探す
7. 身に着けた問題解決ノウハウの具体的な話

現在は、AWSの資格全てに合格しています

はじめに

私は、成功した経験よりも、失敗した経験を数多く持つ事が重要だと考えています。

失敗することのメリット

失敗することは一見ネガティブな経験のように思えるかもしれませんが、実は多くのメリットがあります。

1. 学習と成長

   • 失敗は学習の機会を提供します。何がうまくいかなかったのかを理解することで、将来同じ過ちを繰り返さないようになります。
   • 新しいスキルや知識を獲得するきっかけになることが多く、個人の成長に寄与します。

2. 創造性の促進

   • 失敗は新しいアイデアやアプローチを試すきっかけになります。従来の方法がうまくいかないことがわかれば、創造的な解決策を見つける必要があります。

3. レジリエンス（回復力）の強化

   • 失敗を乗り越えることで、困難に直面したときの精神的な強さが養われます。これは、将来の挑戦に立ち向かうためのレジリエンスを構築するのに役立ちます。

4. 自己認識の向上

   • 失敗を通じて自分自身についてより深く理解することができます。自分の弱点や限界を知ることで、自己改善の方向性が見えてきます。

5. リスクテイクの価値の理解

   • 失敗はリスクを取ることの重要性を教えてくれます。成功するためにはリスクを恐れずに挑戦することが必要であり、失敗はその一環です。

6. モチベーションの源泉

   • 失敗は、成功への動機付けを強化することがあります。目標達成への情熱を新たにし、より一層努力するきっかけになることがあります。

7. 謙虚さの維持

   • 失敗は謙虚さを保つのに役立ちます。自分が無敵ではないことを認識し、常に学び続ける姿勢を持つことが重要です。

失敗は避けがたい人生の一部であり、それを受け入れ、そこから学び、成長することが、個人の発展にとって不可欠です。失敗をポジティブな経験と捉え、それを自己改善のためのステップとして活用することが、成功への道を切り開く鍵となります。

効果的な努力のための内部要因と外部要因の分析

多くの場合、努力の仕方が間違っていることが原因。

内部要因の分析
内部要因は、自己管理に関わる要素です。

• 誘惑への対処：どのような誘惑があり、どう対処したか？
• 集中力の維持：集中力が途切れる原因は何か？
• 最適な学習時間帯：自分が最も集中できる時間帯はいつか？
• 計画の立案と実行：立てた計画に従って行動できたか？
• 予習の方法：予習は効果的に行われたか？
• 復習の方法：復習は適切に行われたか？
• 学習のタイミング：予習や復習のタイミングは最適だったか？

外部要因の分析
外部要因は、学習環境に関わる要素です。

• 誘惑の管理：誘惑が少ない状況を作り出せているか？
• 学習習慣の保持：勉強の習慣を乱される環境に身を置いていないか？
• 情報収集：試験に出る重要な情報を適切に集められているか？
• 情報の選別：無駄な情報に時間を費やしていないか？
• 学習環境：集中力が続く環境に身を置いているか？

誘惑への対処ですが、集中力が途切れた時に出てくる 煩悩のコントロール が重要です。「そういえば、あれやらなきゃなとか、飽きてきたので、これを見たい」とかにならないようにするノウハウです。有効な手法として、手元にノートを用意しておき、そこに取り敢えず記載し、煩悩の解決を先延ばしする事で、今に集中する コトが出来るようになります。

これらの分析を通じて、自分の努力が最大の成果を生むためには、内部要因と外部要因の両方を適切に管理することが重要であることがわかります。自己反省を行い、効果的な学習環境を整えることで、目標達成に向けた努力を最適化することができるでしょう。

困難を乗り越えるための忍耐力と回復力を身につける

集中力が続かないときに、集中力が戻るようにする方法を把握しているか？
やる気がない時に、何をするか決めているか？
体調が悪い時に、何をするかきめているか？

個人の経験からの学び
朝、情報が少ない状態から勉強を始めると、徐々に集中できる時間が増えていくという経験があります。(煩悩が少ない)

夜に勉強が捗るのは、既にある程度の知識があり、その知識について考え続けられる状態になってからのことです。(煩悩が多い)

• 言葉に慣れるためには、朝のインプットから始めることが有効であると感じています。
• 日々新たな問題が出てくるため、夜には新しい情報をインプットする余裕がないという状況もあります。(煩悩まみれ)
• 行き詰った時には、なんでもいいから、 コミュニケーション を取って、自分が囚われている事柄から、開放する事が有効でした。(煩悩の解放)

創造性と問題解決能力を向上させる

上手くやれていない時に、そのまま、惰性で、うまくやれていない状況を続けていることを自覚できるか？ 気づく 必要があります。

こうやって自分なりのフローを探す

フロー状態　(煩悩の解放状態)

フローの考え方は、心理学者ミハイ・チクセントミハイ（Mihaly Csikszentmihalyi）によって提唱された概念で、完全に活動に没頭し、時間や自我を忘れるほどの集中状態を指します。この状態は、個人が自分のスキルと挑戦する活動の難易度が完全に一致するときに生じるとされています。

フローの特徴
フロー状態にあるとき、人は次のような特徴を経験するとされています

1. 完全な集中 活動に対する集中が高まり、周囲の環境や雑念からの気晴らしがなくなります。
2. 明確な目標 行動の目的が明確であり、何をすべきかがはっきりしています。
3. 即時のフィードバック 行動の結果に対する直接的なフィードバックが得られ、自分のパフォーマンスを即座に調整できます。
4. 活動と自己の境界の消失 自己と活動が一体化し、自我意識が薄れることがあります。
5. 時間の歪み 時間の感覚が変化し、時間が経つのを忘れることがあります。
6. 努力の感覚の消失 活動が自然で無理なく行えるように感じられます。
7. 自己表現の自由 自分の能力を最大限に発揮できると感じ、自己実現の感覚を得られます。

フローの条件
フロー状態を達成するための条件

1. スキルと挑戦のバランス 個人のスキルレベルと活動の難易度が適切に一致していること。
2. 自己効力感 自分が活動をコントロールできるという信念があること。
3. 自主性 活動が自分の意志によって選択され、外部からの強制ではないこと。

フローの応用
フローの概念は、教育、スポーツ、仕事、芸術など、さまざまな分野で応用されています。例えば、教育では学習者がフロー状態に達するような教材やカリキュラムの設計が行われ、スポーツでは選手が最高のパフォーマンスを発揮するためにフロー状態を目指します。また、職場では従業員が仕事に没頭し、高い生産性を達成するためにフローを促進する環境が整備されています。

フローの考え方は、個人が自己実現を達成し、充実感を感じるための重要な要素とされており、人々がより幸福で満足のいく生活を送るための鍵となっています。

身に着けた問題解決ノウハウの具体的な話

問に対して、即答できる模範アーキテクチャをイメージ出来るようにしておく

AWS リファレンスアーキテクチャ図
https://aws.amazon.com/jp/architecture/reference-architecture-diagrams/?solutions-all.sort-by=item.additionalFields.sortDate&solutions-all.sort-order=desc&whitepapers-main.sort-by=item.additionalFields.sortDate&whitepapers-main.sort-order=desc&awsf.whitepapers-tech-category=*all&awsf.whitepapers-industries=*all

私の場合の問題解決能力が向上した点

例えば、
Kinesis Data Streams にストリーミングするソリューションを設計している時、
コンシューマ側でスロットリングが発生したり、
ReadProvisionedThroughputExceededのエラーが検出される
等の問題が起きるという状況に直面するとします。

これは、試験問題でも、実務でも使えるノウハウです。

その場合、どのように解決するのがベストプラクティスなのかを調べる方法を身に着けました。

これを読めば、おおよその解決策がわかります。
https://repost.aws/ja/knowledge-center/kinesis-readprovisionedthroughputexceeded

なので、何か問題に直面した場合は、
https://repost.aws/ja/knowledge-center
で検索するという問題解決方法を身に着けました。

デフォルトの設定が、japaneseになっていると思います。
そうすると、コンテンツがあまり表示されないのですが、
コツは、Englishに換えて、検索することです。

これも、試験問題でも、実務でも使えるノウハウです。

試験を受験してみて、問題は、どのようなパターンが多いかというと、
ソリューションアーキテクトを例に取ると、
その名の通り、AWSのサービスをただ知っているだけでなく、
構築方法を導き出す力を求められているので、構築パターンを提示できるかどうかを求められます。

私は、ソリューションアーキテクトとして活躍しているAWSのプロが書いた記事を見ることを習慣としています。
そのため、結構、即答で、構築パターンを提示出来るようになっています。

ソリューションアーキテクトアソシエイトレベルのAWSブログ

暗号化された AMI をアカウント間で共有して暗号化された EC2 インスタンスを起動する方法

AWSでは、顧客管理のKMSキーで暗号化されたAMIをアカウント間で共有し、そのAMIから暗号化されたEC2インスタンスを起動することが可能です。このプロセスは、セキュリティとコンプライアンスの要件を満たしながら、ゴールデンAMIの配布を簡素化し、スナップショットのストレージコストを削減することができます。

暗号化されたAMIを共有するための前提条件

1. AWS KMSキーポリシーとIAMポリシーの設定: ソースアカウントはAMIを共有する権限を持ち、ターゲットアカウントはスナップショットを再暗号化する権限を持つ必要があります。
2. ソースアカウントとターゲットアカウントの設定: ソースアカウントはカスタムAMIを作成し、ターゲットアカウントは共有されたAMIを使用してインスタンスを起動します。

共有プロセス

1. ソースアカウントのポリシー設定: ソースアカウントは、AMIを共有するためのIAMポリシーを設定します。
2. ターゲットアカウントのポリシー設定: ターゲットアカウントは、共有されたAMIからインスタンスを起動するためのKMSキーポリシーを設定します。
3. AMIの共有: ソースアカウントは、AWS CLIを使用してAMIをターゲットアカウントと共有します。

インスタンスの起動
共有されたAMIからインスタンスを起動する際には、Run-Instances API/CLIのimage-idパラメーターに共有AMIのIDを指定し、必要に応じてKMSキーを指定してボリュームを再暗号化します。

この機能により、暗号化されたAMIを簡単に共有し、セキュリティを維持しながらアプリケーション固有のEC2インスタンスの起動を標準化することができます。また、ソースKMSキーが侵害された場合やアクセス許可が取り消された場合に備えて、ターゲットアカウントのKMSキーを使用してボリュームを再暗号化することが推奨されます。

CloudFront 機能を使用してコンテンツを保護する

この記事では、Amazon CloudFrontを使用してストリーミングビデオコンテンツを保護する方法について説明しています。署名付きCookieや署名付きURLを使用する従来の方法に加えて、CloudFront Functionsを利用してカスタムセキュリティワークフローを作成し、ビデオコンテンツの不正な再生を検証および防止する方法を提供します。

主要なポイント

1. コンテンツ保護: 署名付きCookieや署名付きURLを使用して、HTTPライブストリーミング（HLS）で安全にビデオを再生するための認証を提供します。

2. CloudFront Functionsの活用: カスタムセキュリティワークフローを作成し、ビデオコンテンツの不正な再生を検証および防止します。

3. カスタムワークフローの柔軟性: CloudFront Functionsを使用することで、セキュリティ署名に追加のプロパティ（ユーザーエージェントなど）を含めることができ、セキュリティアプローチを統一します。

利点

• セキュリティの強化: カスタムワークフローを使用することで、配信中のビデオコンテンツの全体的なセキュリティを強化できます。

• クライアントの機能に依存しない: クライアントがCookieをサポートしていない場合でも、セキュリティを確保できます。

• 実装の簡素化: CloudFront Functionsを使用することで、ビデオ再生中に各URLにセキュリティ署名を含める必要がなくなります。

この記事では、AWS Lambdaを使用してカスタム承認者Lambda関数を作成し、Amazon API Gatewayを使用してカスタムオーソライザーLambda関数を関連付ける手順、CloudFront機能の準備と関連付け、セキュアストリームキーの生成と検証、およびフローのテスト方法について説明しています。これにより、ストリーミングビデオコンテンツを不正な外部の脅威から防ぐことができます。

暗号化されていないオブジェクトの Amazon S3 へのアップロードを防ぐ方法

この記事では、Amazon S3 Storage Lensの紹介と、それを使用して組織全体のオブジェクトストレージを可視化する方法について説明しています。S3 Storage Lensは、AWS Organizationsをサポートするクラウドストレージ分析ソリューションで、ポイントインタイムのメトリクスと傾向線、実用的な推奨事項を提供し、異常を発見し、コスト効率を特定し、データ保護のベストプラクティスを適用するのに役立ちます。

主要なポイント

1. 組織全体のストレージ可視化: S3 Storage Lensを使用すると、組織全体、特定のアカウント、リージョン、バケット、プレフィックスのデータを集約して分析できます。

2. インタラクティブなダッシュボード: S3管理コンソールにあるインタラクティブなダッシュボードを使用して、ストレージの使用状況を理解し、分析し、最適化できます。

3. デフォルトのダッシュボード: すべての顧客にはデフォルトのダッシュボードが提供され、必要に応じてカスタマイズできます。

利点

• ストレージの最適化: S3 Storage Lensを使用すると、ストレージの使用状況を把握し、コストを最適化し、セキュリティ体制を改善できます。

• データ保護の改善: データ保護のベストプラクティスを適用し、組織全体のセキュリティを強化できます。

• コスト効率の特定: コスト効率を特定し、ストレージコストを削減するための推奨事項を受け取ることができます。

この記事では、S3 Storage Lensの機能、ダッシュボードの作成方法、およびダッシュボードで提供される情報について説明しています。また、S3 Storage Lensを使用してストレージの使用状況とアクティビティの傾向を視覚化し、状況に応じた推奨事項を表示することで、即時のアクションを簡単に実行できることを示しています。S3 Storage Lensは、Amazon S3 API、CLI、またはS3コンソールで利用でき、すべての商用AWSリージョンで利用可能です。

Amazon S3 File Gateway による大規模データ移行とコスト削減

この記事では、Amazon S3 File Gatewayを使用してオンプレミスのファイルデータをAmazon S3に移行し、ストレージコストを最適化する方法について説明しています。Amazon S3 File Gatewayは、オンプレミスのファイルシステムからクラウドへのデータ移行を自動化し、オリジナルのファイルメタデータ（作成日や最終更新日など）を保持することができます。

主要なポイント

1. データ移行の自動化: Amazon S3 File Gatewayを使用して、オンプレミスのデータをクラウドに移行し、オリジナルのファイルメタデータを保持します。

2. ストレージコストの最適化: Amazon S3のライフサイクルポリシーを活用して、保存されたオブジェクトを自動的に低コストのストレージクラスに移行します。

3. メタデータの保持: Amazon S3 File Gatewayを使用すると、ソースファイルの「更新日」がAmazon S3オブジェクトの「作成日」として設定され、オブジェクト保存期間がリセットされます。

利点

• コスト削減: データの自動階層化により、ストレージコストを削減できます。

• メタデータの維持: オンプレミスのファイルシステムのメタデータを保持し、クラウドでのデータ管理を簡素化します。

• ハイブリッドクラウドのサポート: Amazon S3 File Gatewayは、ハイブリッドクラウド構成をサポートし、オンプレミスとクラウド間でのデータアクセスを可能にします。

この記事では、Robocopyを使用してオンプレミスのファイルデータをAmazon S3 File Gatewayにコピーし、AWS Lambdaを使用してAmazon S3のライフサイクルポリシーを自動化する方法について説明しています。また、ソリューションアーキテクチャとして、オンプレミスのファイルシステムからクラウドへのデータ移行プロセスを示しています。このソリューションは、データのクラウド移行を容易にし、ストレージコストを削減するための効果的な方法を提供します。

AWS Config と CloudTrail を使用してリソースに変更を加えたユーザーを見つける方法

この記事では、AWS ConfigとAmazon CloudTrailを使用して、AWSリソースに加えられた変更を追跡し、変更を加えたユーザーを特定する方法について説明しています。AWS Configはリソースの設定変更を追跡し、CloudTrailはAPI呼び出しを記録するため、これらのサービスを組み合わせることで、リソースの変更履歴と変更を加えたユーザーを特定できます。

主要なポイント

1. AWS Config: AWSリソースの設定変更を追跡し、リソースタイムラインを提供します。

2. Amazon CloudTrail: API呼び出しを記録し、リソースに加えられた変更に関する詳細情報を提供します。

3. 通知の自動化: AWS Lambda関数を使用して、ConfigとCloudTrailのデータを基に通知を生成し、Amazon SNSトピックに公開します。

利点

• 変更追跡の自動化: AWS ConfigとCloudTrailを使用することで、リソースの変更を自動的に追跡し、監査やコンプライアンスの要件を満たすことができます。

• セキュリティの向上: リソースに加えられた変更の原因となったユーザーを特定することで、セキュリティインシデントの調査や対応を迅速に行うことができます。

• コスト削減: 手動での監査プロセスを自動化することで、運用コストを削減できます。

この記事では、AWS ConfigとCloudTrailを使用してリソースの変更を追跡し、変更を加えたユーザーを特定するためのソリューションの概要、アーキテクチャ、および実装手順について説明しています。また、AWS CloudFormationを使用してリソースをデプロイし、Amazon SNSトピックにサブスクリプションを作成し、通知を受け取る方法についても説明しています。このソリューションは、AWSリソースの変更に関する監視と通知を自動化するための効果的な方法を提供します。

DynamoDB ストリームのユースケースと設計パターン

この記事では、Amazon DynamoDB Streamsを使用して、リレーショナルデータストアからDynamoDBにデータを移行する際に発生する一般的なユースケースと、それらに対する設計オプションとソリューションについて説明しています。

主要なポイント

1. DynamoDB Streams: DynamoDBテーブル内の項目レベルの変更の時系列シーケンスをキャプチャし、情報を最大24時間永続的に保存します。

2. ストリームレコードビュー: DynamoDB Streamsは、変更されたアイテムのキー属性のみ、変更後のアイテム全体、変更前のアイテム全体、アイテムの新旧両方の画像など、複数のストリームレコードビューをサポートしています。

3. ストリーム処理: AWS LambdaやDynamoDB Streams Kinesisアダプターを使用して、DynamoDB Streamsの変更を処理することができます。

利点

• リアルタイムデータ同期: DynamoDB Streamsを使用すると、ほぼリアルタイムでデータ同期を行うソリューションを構築できます。

• 複数テーブル間の関係: 複数のテーブルにわたるリレーションシップを設定し、一方のテーブルの変更に基づいて別のテーブルを更新することができます。

• イベントトリガー: 特定のアイテムの変更に基づいてイベントをトリガーすることができます。

• データ監査とアーカイブ: データを監査またはアーカイブするためのソリューションを構築できます。

• データレプリケーション: マテリアライズドビューやストリーム、レプリケーションの機能を実現するために、複数のテーブル間でデータをレプリケートすることができます。

この記事では、DynamoDB Streamsを使用して複数のテーブル間でデータをレプリケートする方法、データを監査またはアーカイブする方法、特定のアイテムの変更に基づいてイベントをトリガーする方法、およびデータをレプリケートする方法について説明しています。また、DynamoDB Streamsを使用する際のベストプラクティスについても説明しています。

Amazon S3 Intelligent-Tiering – 一時的なオブジェクトおよび小規模オブジェクトのコスト最適化の改善

主要なポイント

1. S3 Intelligent-Tieringのアップデート: 最小ストレージ期間がなくなり、128 KB未満のオブジェクトに対するモニタリングおよびオートメーション料金が発生しなくなりました。

2. コスト削減: これらの変更により、S3 Intelligent-Tieringは、オブジェクトのサイズや保持期間にかかわらず、不明な、変化する、または予測不能なアクセスパターンを持つデータにとって理想的なストレージクラスとなります。

3. 利用方法: S3 Intelligent-Tieringは、オブジェクトのPUTリクエストにIntelligent-Tieringヘッダーを追加することによって、またはライフサイクルルールの作成を通じて、S3に書き込まれる際にオブジェクトに個別に適用できます。

利点

• データの自動階層化: S3 Intelligent-Tieringは、アクセスパターンの変化に応じてアクセス層間でデータを自動的に移動し、コストを最適化します。

• 柔軟性の向上: 30日以内に削除、移行、または上書きされたオブジェクトについての比例配分された料金が発生しなくなり、データの保持期間に柔軟性が生まれます。

• 簡単なセットアップ: Amazon S3コンソールを使用して、オブジェクトをS3 Intelligent-Tieringストレージクラスで簡単にアップロードできます。

この記事では、S3 Intelligent-Tieringストレージクラスの利点と、Amazon S3コンソールを使用してオブジェクトをアップロードする方法について説明しています。これにより、オブジェクトはS3 Intelligent-Tieringストレージクラスを使用してS3バケットに保存され、コストをさらに最適化することができます。

新機能- Intelligent TieringによるAmazon S3の自動的なコスト最適化

主要なポイント

1. S3 Intelligent-Tiering: アクセスパターンが予測できないデータに対して、アクセス層間でデータを自動的に移動し、コストを最適化します。

2. 更新によるコスト削減: 128 KB未満のオブジェクトに対するモニタリングおよびオートメーション料金が発生しなくなり、30日以内に削除されたオブジェクトに対する比例配分された料金も発生しなくなりました。

3. 利用方法: S3 Intelligent-Tieringは、オブジェクトのPUTリクエスト時やライフサイクルポリシーを通じて適用できます。

利点

• 自動的なコスト最適化: アクセスパターンに応じてデータを自動的に移動し、コストを最適化します。

• 柔軟性の向上: オブジェクトのサイズや保持期間にかかわらず、データの自動階層化が可能です。

• 簡単なセットアップ: Amazon S3コンソールを使用して、オブジェクトをS3 Intelligent-Tieringストレージクラスで簡単にアップロードできます。

この記事では、S3 Intelligent-Tieringストレージクラスの利点と、Amazon S3コンソールを使用してオブジェクトをアップロードする方法について説明しています。これにより、オブジェクトはS3 Intelligent-Tieringストレージクラスを使用してS3バケットに保存され、コストをさらに最適化することができます。

IAM ロールで信頼ポリシーを使用する方法

IAM ロールは、AWS リソースへのアクセスを委任するために使用されるエンティティであり、信頼ポリシーは他のプリンシパル（ユーザー、サービス、アカウントなど）がそのロールを引き受けることを許可するルールを定義します。

このガイドでは、IAM ロールの信頼ポリシーを構成する方法、特定の条件下でのロールの引き受けを制限する方法、およびセキュリティを強化するためのベストプラクティスについて説明しています。また、IAM ロールを使用するさまざまなシナリオについても触れており、以下のような内容が含まれています：

• AWS サービスやリソースが他の AWS リソースにアクセスするためにロールを使用する場合
• AWS サービスが外部デバイスで使用される認証情報を生成する場合
• AWS アカウント間でリソースにアクセスするためにクロスアカウントロールを使用する場合
• Web ID プロバイダーや OpenID Connect (OIDC) で認証されたエンドユーザーがAWSリソースにアクセスする場合
• 企業がSAML 2.0 フェデレーションを使用して従業員認証を実行する場合

信頼ポリシーの構成には、以下の要素が含まれます：

• Effect：ポリシーの効果（許可または拒否）
• Principal：ロールを引き受けることができるプリンシパル
• Action：許可されるアクション（例：sts:AssumeRole）
• Condition：ロールの引き受けを許可する追加の条件

信頼ポリシーを使用して、特定のIPアドレス範囲からのアクセスのみを許可したり、特定のタグに基づいてアクセスを制御したりすることができます。また、外部IDを使用してサードパーティによるロールの引き受けを安全に管理する方法や、AWS Organizationsの組織内のプリンシパルのみにロールの使用を制限する方法についても説明しています。

このガイドは、IAM ロールと信頼ポリシーを効果的に使用して、AWS 環境のセキュリティを向上させるための包括的なリソースです。IAM ロールの信頼ポリシーを適切に構成することで、AWS リソースへのアクセスを正確に制御し、セキュリティを確保することができます。

AWS Lake Formation を使用して、AWS アカウント間でデータを安全に共有します

ポイント

1. データレイクの集中: AWS Lake Formation は、構造化および非構造化データを保存できる集中リポジトリを提供し、事前に定義されたスキーマに変換する必要がありません。
2. データ共有のニーズ: 組織はデータレイク内のデータを複数の企業や組織間で共有する必要がある場合があります。
3. Lake Formation の機能: AWS Lake Formation は、安全なデータレイクを簡単にセットアップできるフルマネージドサービスであり、AWS Glue データカタログおよび Amazon S3 へのアクセス制御を提供します。
4. クロスアカウントアクセス制御: Lake Formation は、タグベースのアクセス制御と名前付きリソースの2つの方法でクロスアカウント共有をサポートします。

利点

1. セキュリティ: Lake Formation は、データを安全に共有するためのきめ細かいアクセス制御を提供します。
2. 柔軟性: データレイク管理者は、タグを使用してアクセス許可を動的に割り当てることができます。
3. データのコピー不要: 実際のデータをコピーすることなく、データを共有できます。
4. アクセス許可の制御: プロデューサーとコンシューマーの両方がデータのアクセス許可を制御できます。
5. データの分類: オントロジーに基づいてデータを分類し、分類に基づいて権限を付与することができます。
6. スケーラビリティ: 大規模なデータレイクを簡単に管理できます。

実装手順

1. LFタグの定義と割り当て: データベースやテーブルに LF タグを割り当て、アクセス許可を管理します。
2. コンシューマーアカウントへの権限付与: コンシューマーアカウントにデータアクセス権限を付与します。
3. リソースリンクの作成: 共有テーブルへのリソースリンクを作成し、Athena などのサービスでクエリを実行できるようにします。
4. AWS RAM を介した共有: AWS Resource Access Manager (AWS RAM) を使用してリソースを共有し、共有を受け入れます。

Lake Formation を使用することで、AWS アカウント間でデータを効率的かつ安全に共有し、データレイクのセキュリティと管理を強化することができます。また、データのアクセス許可を柔軟に制御し、データレイクのスケーラビリティを向上させることが可能です。

Amazon S3 の VPC エンドポイント戦略の選択

ポイント

1. VPC エンドポイントの目的: Amazon VPC内のワークロードがAWSネットワーク経由でAmazon S3などのパブリックAWSサービスにプライベートに接続するために使用されます。
2. エンドポイントのタイプ: Amazon S3への接続には、インターフェイス VPC エンドポイントとゲートウェイ VPC エンドポイントの2種類があります。
3. インターフェイス VPC エンドポイント: Elastic Network Interface (ENI) を使用し、プライベートIPアドレスを介してAmazon S3と通信します。AWS Direct ConnectやSite-to-Site VPN経由でオンプレミスからのアクセスも可能です。
4. ゲートウェイ VPC エンドポイント: VPC ルートテーブル内のプレフィックスリストを使用し、Amazon S3へのトラフィックをプライベートにルーティングします。

利点

1. セキュリティ: VPC エンドポイントを使用することで、AWSサービスへのアクセスに固有のスケーラビリティ、復元力、セキュリティが提供されます。
2. プライバシー: パブリックネットワークを介さずにAWSサービスにアクセスできるため、内部セキュリティポリシーへのコンプライアンスが容易になります。
3. アクセス制御: AWS IAMリソースポリシーを使用して、VPCエンドポイントとアクセス可能なリソースへのアクセスを制御できます。

選択基準

1. コスト: ゲートウェイエンドポイントは無料で、インターフェイスエンドポイントには料金がかかります。
2. アクセスパターン: ゲートウェイエンドポイントはVPC内のリソースのみをサポートし、インターフェイスエンドポイントはオンプレミスや他のリージョンからのアクセスに対応しています。
3. アーキテクチャ: 集中型VPCエンドポイントアーキテクチャを使用する場合、インターフェイスエンドポイントが適しています。
4. 帯域幅: インターフェイスエンドポイントはENIあたり10Gbpsのスループットを提供し、ゲートウェイエンドポイントにはスループット制限がありません。

アーキテクチャオプション

1. 単一VPCアーキテクチャ: VPC内でゲートウェイとインターフェイスの両方のエンドポイントをセットアップできます。
2. マルチVPC集中型アーキテクチャ: ハブアンドスポークアーキテクチャで、ハブVPCのインターフェイスエンドポイントを使用して複数のスポークVPCからのアクセスを一元化します。

結論
AWSでは、ゲートウェイとインターフェイスの両方のVPCエンドポイントタイプから選択して、プライベートネットワークを使用してS3バケットに安全にアクセスできます。適切なVPCエンドポイントの選択は、VPCアーキテクチャ、アクセスパターン、コストなどの基準に基づいて行われます。

不完全なマルチパートアップロードを検出して削除して Amazon S3 コストを削減する

マルチパートアップロードの概要

• マルチパートアップロードは、大きなオブジェクトを小さなパーツに分割してアップロードする機能です。
• この機能は、スループットの向上やネットワークの問題からの迅速な回復に役立ちます。
• オブジェクトのサイズが100MB以上の場合、マルチパートアップロードを検討することが推奨されます。

不完全なマルチパートアップロードの問題

• マルチパートアップロードが完了しない場合、アップロードされたパーツはS3に残り、ストレージ料金が発生します。
• 不完全なアップロードは手動で中止することができますが、大規模な環境では管理が困難になる可能性があります。

S3 Storage Lensを使用した検出

• S3 Storage Lensは、ストレージの使用状況とアクティビティの傾向を可視化するツールです。
• Storage Lensを使用して、不完全なマルチパートアップロードを含むバケットを特定し、それによって消費されているデータ量を確認できます。

S3ライフサイクルを使用した自動削除

• S3ライフサイクルルールを設定することで、特定の期間後に不完全なマルチパートアップロードを自動的に中止できます。
• 例えば、アップロード開始から7日後に自動的に中止するルールを設定することができます。

AWS CLIとAWS CloudFormationの使用

• AWS CLIやAWS CloudFormationを使用して、ライフサイクルルールをプログラム的に設定することも可能です。

結論

• 不完全なマルチパートアップロードを特定して自動的に中止することで、S3のストレージコストを削減できます。
• このプロセスは、正常にアップロードされたオブジェクトには影響を与えません。

VPC プレフィックス リストを使用してネットワーク ルーティングとセキュリティ管理を簡素化

プレフィックスリストの概要

• プレフィックスリストは、CIDRブロックのコレクションで、VPCセキュリティグループ、VPCルートテーブル、AWS Transit Gatewayルートテーブルの設定に使用できます。
• プレフィックスリストは、AWS Resource Access Manager (RAM) を通じて他のAWSアカウントと共有することができます。

プレフィックスリストの利点

• 監査と管理の簡素化: セキュリティグループルールを統合し、監査プロセスを簡素化できます。
• リージョン間ピアリングの簡素化: AWS Transit Gatewayでのリージョン間ピアリングのルートテーブルを簡素化できます。
• エッジVPCルートテーブルの簡素化: エッジVPCのルーティングテーブルを簡素化し、ネットワークCIDR範囲の管理を容易にします。
• 一貫したネットワークセキュリティ体制: セキュリティポリシーの一貫性を保ち、エラーを防止します。
• アカウント全体のセキュリティ体制: プレフィックスリストを使用して、アカウント間でセキュリティ管理を一元化できます。

ネットワークのスケーリング

• プレフィックスリストは、ネットワークの成長やハイブリッドネットワーキングのニーズに応じて、セキュリティやルーティングの設定をシンプルかつ効率的に拡張するのに役立ちます。

結論

• Amazon VPCプレフィックスリストは、ネットワークの簡素化と運用上のオーバーヘッドの削減に有効なツールです。

プレフィックスリストを使用することで、ネットワークの変更が必要な場合に、複数の場所での変更ではなく、一元的な場所での更新だけで済むようになります。これにより、ネットワークの管理が大幅に簡単になり、セキュリティの一貫性が向上します。

Amazon S3 の VPC エンドポイント戦略の選択

VPCエンドポイントの概要

• VPCエンドポイントは、Amazon VPC内のワークロードがAWSネットワーク経由でパブリックAWSサービスにプライベートに接続するための仮想ネットワークコンポーネントです。
• Amazon S3への接続には、インターフェイスVPCエンドポイントとゲートウェイVPCエンドポイントの2種類が利用可能です。

インターフェイスVPCエンドポイントとゲートウェイVPCエンドポイントの違い

• インターフェイスVPCエンドポイントはElastic Network Interface (ENI)を介してプライベートIPアドレスでサービスに接続し、AWS PrivateLinkを利用します。
• ゲートウェイVPCエンドポイントはVPCルートテーブル内のプレフィックスリストを使用し、Amazon S3やAmazon DynamoDBへのトラフィックをプライベートにルーティングします。

選択基準

• 料金: ゲートウェイエンドポイントは無料で、インターフェイスエンドポイントは使用に応じて料金が発生します。
• アクセスパターン: ゲートウェイエンドポイントはVPC内のリソースのみをサポートし、インターフェイスエンドポイントはオンプレミスや他のリージョンからのアクセスに適しています。
• VPCエンドポイントアーキテクチャ: 集中型VPCエンドポイントアーキテクチャでは、インターフェイスエンドポイントが推奨されます。
• 帯域幅: インターフェイスエンドポイントはENIあたり10Gbpsのスループットを提供し、ゲートウェイエンドポイントにはスループット制限がありません。

アーキテクチャオプション

• 単一VPCアーキテクチャ: VPC内でゲートウェイとインターフェイスの両方のエンドポイントをセットアップできます。
• マルチVPC集中型アーキテクチャ: ハブアンドスポークアーキテクチャで、ハブVPCのインターフェイスエンドポイントを使用して複数のスポークVPCからのアクセスを一元化します。

結論

• VPCエンドポイントを選択する際は、VPCアーキテクチャ、アクセスパターン、コストなどの要件に基づいて適切なタイプを選択することが重要です。
• AWSは、プライベートネットワークを使用してS3バケットに安全にアクセスするための2種類のVPCエンドポイントを提供しています。

新規 – Amazon EBS スナップショットロック

スナップショットロックの概要

• Amazon EBSスナップショットロック機能により、個々のEBSスナップショットをロックして、意図しない削除や悪意のある攻撃から保護できるようになりました。
• スナップショットはロック期間中削除できず、Write Once Read Many (WORM) モデルを実現します。

ロックの必要性

• バックアップ、ディザスタリカバリ、データ移行、コンプライアンスなどの目的でEBSスナップショットが使用されています。
• 特に金融サービスやヘルスケア分野では、所定の保持期間にわたって特定のコンプライアンス要件を満たす必要があります。

スナップショットロックのモード

• ガバナンスモード: 適切なIAM許可がある場合に限り、ロック期間の変更やロックの解除が可能です。
• コンプライアンスモード: ルートユーザーおよびIAMユーザーによるアクションからスナップショットを保護し、クーリングオフ期間後はロック期間が経過するまで変更できません。

スナップショットロックの使用

• EBSコンソールからスナップショットを選択し、ロック期間を設定してロックを有効化できます。
• ロックされたスナップショットは削除できず、保護された状態が維持されます。

プログラムによるロック管理

• 新しいAPI関数を使用して、プログラムでスナップショットのロックを確立および制御できます。

知っておくべきこと

• AWS Backupはスナップショットの保持を独立して管理するため、ロックされたスナップショットの使用は推奨されていません。
• スナップショットロック機能の使用に追加料金はかかりませんが、スナップショットのストレージ料金は発生します。
• EBSスナップショットロックはすべての商用AWSリージョンで利用可能です。
• EBSボリュームとスナップショットの暗号化に使用するAWS KMSキーは、スナップショットの存続期間中有効である必要があります。

この機能により、企業はデータ保持ポリシーへのコンプライアンスを強化し、重要なバックアップを安全に保持することができます。

AWS DataSync を使った Amazon S3 へのデータ同期

AWS DataSyncの概要

• AWS DataSyncは、オンプレミスのストレージシステムとAWSストレージサービス間でのデータ移動を簡素化、自動化、高速化するサービスです。
• DataSyncは、アクティブなデータセットのAWSへの移行、データのアーカイブ、事業継続のためのデータのレプリケーションなどに利用できます。

DataSyncの利点

• DataSyncはオブジェクトメタデータを使用して増分的な変更を識別し、効率的なデータ同期を実現します。
• DataSyncを使用すると、ネットワーク帯域の効率的な利用、時間の節約、コスト削減が可能です。

DataSyncの動作

• DataSyncは、ファイルと必要なメタデータをワンステップでS3に書き込むことができます。
• DataSyncは、ファイルのメタデータと対応するS3オブジェクトのメタデータを比較して、ファイルを転送する必要があるかどうかを判断します。

ウォークスルーシナリオ

• シナリオ1: DataSyncを使用してS3バケットへのデータの初期同期を行う場合、DataSyncはファイルとメタデータを効率的に転送します。
• シナリオ2: DataSync以外のユーティリティでS3にアップロードされたデータとの同期を行う場合、DataSyncは既存のオブジェクトのメタデータを読み取り、必要に応じて新しいコピーを作成しますが、データの再送信は行いません。
• シナリオ3: S3のアーカイブストレージクラスにあるデータとの同期を行う場合、DataSyncは各ファイルを再送信する必要があり、これは効率が悪くコストがかかります。

まとめ

• DataSyncを使用してS3への最初の転送を行うことが推奨されます。これにより、効率的なプロセスを実現し、コストを削減できます。
• DataSync以外の手段でS3にデータをコピーした場合は、ストレージクラスがAmazon S3 Glacier、S3 Glacier Deep Archive、S3 Intelligent-Tiering（ArchiveまたはDeep Archive tier）でないことを確認し、S3バージョニングが有効になっている場合は停止することが推奨されます。

Amazon S3 バッチオペレーションによるオブジェクトの暗号化

S3 バッチオペレーションの概要

• S3 バッチオペレーションは、数百万のオブジェクトに対して一括でコピー、タグ付けなどの操作を実行できる機能です。
• ユーザーはオブジェクトのリストを提供するだけで、S3 バッチオペレーションが処理を行います。

暗号化の必要性

• データセキュリティを確保するためには、大量のデータアーカイブを管理し、個々のファイルを暗号化する必要があります。
• S3 バッチオペレーションは、バケット内の既存のオブジェクトを暗号化する簡単な方法を提供します。

プロセスのステップ

1. S3インベントリレポートの取得: S3インベントリを使用して、暗号化するオブジェクトのリストを取得します。
2. オブジェクトリストのフィルタリング: S3 SelectまたはAthenaを使用して、暗号化されていないオブジェクトのみを含むリストを作成します。
3. S3バッチオペレーションジョブの設定: フィルタリングされたリストを使用して、S3バッチオペレーションジョブを設定し、オブジェクトを暗号化します。

利点

• S3バッチオペレーションを使用することで、大量のオブジェクトを効率的に暗号化できます。
• 再試行の管理や進行状況の表示などの機械的な作業を自動化できます。
• S3のデフォルトの暗号化機能と組み合わせることで、新しいオブジェクトの暗号化作業が自動化されます。

注意点

• S3バッチオペレーションは、マニフェストにリストされているすべてのオブジェクトに対して同じ操作を実行します。
• ジョブの実行には料金がかかるため、実行するジョブの数を決定する際にはコストを考慮する必要があります。
• S3バッチオペレーションは、AWSのほとんどの商用リージョンで利用可能です。

この機能により、企業はデータセキュリティを強化し、コンプライアンス要件を満たすために、大規模なデータアーカイブを簡単に暗号化することができます。

Amazon VPC Lattice と Amazon EKS で実現するアプリケーションネットワーキング

VPC Latticeの概要

• Amazon VPC Latticeは、AWSのネットワークインフラストラクチャに組み込まれたフルマネージドなアプリケーションネットワーキングサービスです。
• 複数のアカウントとVPCにまたがるサービスの接続、セキュリティ、監視に使用されます。

EKSとの統合

• Amazon EKSでは、Kubernetes Gateway APIの実装であるAWS Gateway APIコントローラーを使用してVPC Latticeを活用できます。
• VPC Latticeを使用することで、EKSを利用するお客様はクラスター間接続を標準的なKubernetesのセマンティクスで設定できます。

ソリューションアーキテクチャ

• 同じAWSリージョン内に2つのVPCがセットアップされ、それぞれにEKSクラスターがプロビジョニングされています。
• クラスター間で実行されているサービスは互いに通信する必要があり、VPC Latticeを使用してこれを実現します。

ウォークスルー

• クラスター間通信の実装、カスタムドメイン名の実装、転送時の暗号化の実装、アクセスコントロールの実装など、VPC Latticeを使用した様々なユースケースを紹介しています。

利点

• VPC Latticeを使用することで、プラットフォームチームと開発チームの運用負荷を軽減できます。
• プライベートNATゲートウェイやトランジットゲートウェイなどの追加のネットワークインフラストラクチャコンポーネントを必要とされずに、クラスター間のIPリーチャビリティを実現できます。
• SSL/TLSとVPC Latticeの認証ポリシーを使用してEKSサービスへのアクセスを保護し、セキュアな接続を提供できます。

結論

• VPC Latticeは、EKSクラスター間の通信を簡素化し、セキュリティを強化し、アプリケーションネットワーキングを効率的に実現するための強力なツールです。
• この記事では、VPC Latticeを使用したアプリケーションネットワーキングの高レベルなアーキテクチャとワークフローに焦点を当てています。

Amazon S3 Storage Lens の紹介 — オブジェクトストレージに組織全体にわたる可視性を

S3 Storage Lensの概要

• S3 Storage Lensは、組織全体でオブジェクトストレージを可視化できるクラウドストレージ分析ソリューションです。
• ポイントインタイムメトリクス、トレンドライン、アクショナブルなレコメンデーションを提供し、異常の検出、コスト効率の特定、データ保護のベストプラクティスの適用を支援します。

S3 Storage Lensの利点

• 組織全体、特定のアカウント、リージョン、バケット、プレフィックスにわたるストレージの使用状況とアクティビティを把握し、分析して最適化できます。
• S3 マネジメントコンソールからアクセス可能で、rawデータとしても利用できます。

デフォルトのダッシュボード

• すべてのS3ユーザーにはデフォルトのダッシュボードが提供され、必要に応じてカスタマイズが可能です。

ダッシュボードの作成

• 独自のダッシュボードをゼロから作成でき、特定のS3バケットにメトリクスデータを毎日エクスポートするよう設定できます。

ダッシュボードの表示内容

• ダッシュボードでは、ストレージの使用状況やアクティビティのトレンドを詳細に分析できます。
• メトリクスはデータ保護やコスト効率などのカテゴリ別に整理されています。
• コンテキストに応じたレコメンデーションが表示され、アクションを簡単に即時実行できます。

利用可能性

• S3 Storage Lensは、すべての商用AWSリージョンで利用可能です。
• Amazon S3 API、CLI、S3コンソールのいずれかで使用できます。

S3 Storage Lensは、複雑なストレージ環境を管理する企業にとって有用なツールであり、ストレージの最適化、コスト削減、セキュリティ体制の向上に貢献します。

Amazon S3 Storage Lensを使ってストレージコストを下げる5つの方法

S3 Storage Lensの概要

• S3 Storage Lensは、S3コンソールに組み込まれた分析機能で、オブジェクトストレージの使用状況やアクティビティの傾向を組織全体で可視化するツールです。
• アドバンスドメトリクスにアップグレードすることで、追加のメトリクス、インサイト、データ保持期間の延長を有効にできます。

ストレージコスト削減の方法

1. 大容量バケットの特定: S3 Storage Lensを使用して、アカウント内のすべてのバケットを一元的に把握し、大容量バケットを特定します。
2. 不完全なマルチパートアップロードの排除: 不完全なマルチパートアップロードバイトを特定し、ライフサイクルポリシーを作成して排除します。
3. S3ストレージクラスの利用: S3のストレージクラスを最適に利用して、ストレージコストを削減します。
4. 過去のバージョンの削減: 過去のバージョンの蓄積を把握し、ライフサイクルポリシーを設定して削減します。
5. Coldバケットの発掘: アクセスされなくなったバケットを特定し、不要なストレージを削減します。

S3 Storage Lensの利用

• S3 Storage Lensは、ストレージの使用状況とアクティビティのトレンドをダッシュボードで可視化し、コスト削減の機会を特定するのに役立ちます。
• ダッシュボードでは、バケットごとの使用状況や、ストレージクラスの分布など、さまざまなメトリクスを分析できます。

結論

• S3 Storage Lensを活用することで、ストレージコストを効率的に削減し、データ保護のベストプラクティスを実施することができます。
• この記事で紹介されたテクニックは、即時のコスト削減につながり、ストレージが長期的に増加してもコスト効率を維持または拡大するための可視性を提供します。

Amazon Inspector の更新 – 評価レポート、プロキシサポートなど

Amazon Inspectorの概要

• Amazon Inspectorは、AWSで実行するアプリケーションのセキュリティ問題を識別する自動セキュリティ評価サービスです。
• タグを使用してアプリケーションのリソースを定義し、セキュリティ評価テンプレートを作成してルールを特定します。

新機能の紹介

1. 評価レポート: エグゼクティブサマリーを含む詳細な評価レポートをHTMLまたはPDF形式でダウンロードできます。これはチームやリーダーシップとの共有、コンプライアンス監査のドキュメントとして使用できます。
2. プロキシのサポート: エージェントがプロキシ環境内で実行するように設定できるようになりました。
3. CloudWatch メトリクス: Inspectorが評価後にCloudWatchにメトリクスを発行するようになり、長期にわたる変更をトラックできます。
4. Amazon Linux 2017.03のサポート: Amazon Linux AMIの新しいバージョンがリリースされた際に、Inspectorも対応しています。

評価レポートの内容

• カバーページとエグゼクティブサマリーから始まり、評価ルールとテストしたターゲットを要約します。
• 各ルールパッケージの結果を要約した詳細情報を含んでいます。
• 全文では、すべてのターゲットインスタンスでどのルールがチェックされパスしたかを示します。

プロキシのサポート

• LinuxインスタンスではHTTPSプロキシを、WindowsインスタンスではWinHTTPプロキシをサポートしています。

CloudWatch メトリクス

• ターゲットとテンプレート別に分類されたメトリクスを提供し、アカウントで実行された評価の実行数を表示する集計メトリクスも利用できます。

結論

• Amazon Inspectorの新機能により、セキュリティ評価のプロセスが強化され、より詳細なレポートとプロキシサポートが提供されます。
• CloudWatch メトリクスにより、評価の結果を長期にわたって追跡でき、Amazon Linuxの新バージョンにも対応しています。