これ何
- お正月にGolangやらで遊ぼうとしたら、個人用AWSアカウントを解約してたの忘れてて、新たに作り直す必要が発生した。
- Tips自体は色々落ちてるが、以下の気持ちになり自分用の手順をまとめたくなった。
- 個人の責任の範囲内で、要点は抑えつつミニマムな設定で始めたい。
- 網羅感がないTips群≒都度ググる必要あり
- 逆に網羅性のある記事はテキスト量が多く読むのがつらい。
- 基本的には利用経験、アカウント開設経験ありの人向けの覚書とする。
- 全然RTAじゃないけど許して
0.アカウント開設～rootアカウントでのログイン
略。
公式UIがよく変わる都合上、作る度に地味にハマるのはご愛敬。
1．rootアカウントでやること
1-1. rootアカウントのMFA設定
-
IAM画面から、MFA設定を行う
- 最悪これはやらないと怖くて眠れない
1-2. Admin権限のIAMユーザ作成
-
自分用IAMユーザ(Admin)の作成
-
Administrator Accessを直接 or グループを作成してアタッチ。
- ベストプラクティスは後者だが、私用なら前者で十分。
-
Administrator Accessを直接 or グループを作成してアタッチ。
-
IAMユーザのMFA設定
- IAMユーザを選択して、認証情報→MFA デバイスの割り当て
1-3. 請求周り
-
IAM アクセスのアクティブ化
- コンソール右上のアカウント名→「マイアカウント」→「IAM ユーザー/ロールによる請求情報へのアクセス」
- これやらないと費用が気になる度にrootアカウントで入り直すことになるので、個人向けでもやった方が良いです。
-
円払いへの切り替え
- 同じく「マイアカウント」から「お支払い方法」→「お支払通貨の設定」でJPYに変更
- デフォのドル払いだと外貨取扱手数料(ググると1.63%くらい？)取られるのでかなり大切。
1-4. サポートレベル変更
-
AWS側の障害について問い合わせたい時は開発者サポート$29/月, 回答早く欲しい場合はビジネス$100/月
- 趣味の開発環境が欲しいだけなので私はパス。
2．IAMユーザでやること
0. コンソールログイン(with MFA)
- ログインできたら、あとはrootアカウントは解約まで封印できるはず
1．コスト管理
- budgetsで請求アラートを設定。
- 週・日の単位で通知が欲しい場合は別途Lambdaなどで作りこみ。
- 以下は100円以下で運用したい人の例
| ステップ | 設定 | 値 | 覚書 |
|---|---|---|---|
| 1 予算タイプの選択 | コスト予算 | - | - |
| 2 予算の設定 | 間隔 | 月別 | 最小の間隔。 |
| 2 予算の設定 | 予算額 | $1 | 自身が許容できる額の最小。 |
| 3 アラートの設定 | アラートのしきい値 | 予算の80% | Defaultのまま |
| 3 アラートの設定 | 連絡電子メール | ※メアド | アクティブに使うアドレスで(知らないうちに破産するので) |
2．監査用の御三家
CloudTrail
- 手順は一番楽そうなものを。
- CloudTrailを全リージョン有効化
-
CloudTrail のデータイベントを有効化。S3のPUT,GET、Lambdaの色々を拾う
- S3，Lambda周りでデバッグしたい人は。
- 別途費用かかるのでとりあえずパス
-
CloudTrail Insightsを有効化
- お金かかるので、私はGuardDutyに任せます。
GuardDuty
※ 個人アカウント利用での予算感が分かっていないので、一月様子を見た後、別途更新予定。
- 全リージョンで有効化。
-
StackSets用IAM Roleを2個作成。
-
全リージョンへStacksetする。
- 参考:「一発でGuardDutyを全リージョン有効化して通知設定するテンプレート作った」
- リージョンの指定～の下りはコンソールのUIが変更されてて、「すべてのリージョンを追加」ボタンを押せばOK。
- 作成まで10分くらいかかる
-
Config
-
個人用アカウントなので、とりあえず有効化をゴールとする。
- StackSetsで以下のセッティング
| ステップ | 設定 | 値 | 覚書 |
|---|---|---|---|
| 1 テンプレートの選択 | 前提条件 - テンプレートの準備 | サンプルテンプレートを使用 | - |
| 1 テンプレートの選択 | サンプルテンプレートの選択 | AWS Configの有効化 | - |
| 2 スタックの詳細を指定 | NotificationEmail | <自分のメアド> | - |
3．fin.
これであとは自由だ。
Cloud9建てて好きなことして遊びましょう。
RTA的な振り返り
- CloudTrail, GuardDutyもStackSetsのテンプレートにあるので、それで十分かも(やってて気づいた)
- SNSトピックのConfirmはStackSetのスキマ時間で実施しよう。
- 結局記事書きながら作ってたので時間測れてない(笑) 30~長くても60分あればいけるかな。