※1 https://[CloudFront]/foo および https://[CloudFront]/foo/ という URL に対して、 foo/index.html などインデックスファイルを出力する機能。 構成 1. CloudFront のオリジンに、 S3 バケットそのものを指定する構成。 参考: [CloudFront + S3]特定バケットに特定ディストリビューションのみからアクセスできるよう設定する ｜ Developers.IO 主要点 S3 バケットはパブリックアクセス可能にしない。 S3 バケットの Static Website Hosting は有効にしない。 有効にしても実害はないと思いますが、 CloudFront が S3 バケットに直接アクセスするこの構成では、意味はありません。(多分) CloudFront は Origin Access Identi

機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ

AWS Codebuildとは？ その名の通り、CodeをBuildできるサービス ソースコードをコンパイルし、テストを実行し、 デプロイ可能なソフトウェアパッケージを作成できる完全マネージド型のビルドサービス。 CodeBuild は連続的にスケールされ、複数のビルドが同時に処理されるので、 ビルドが待機状態でキュー内に残されることがありません 特徴 ビルドサーバーなしでビルド可能 アップデート、管理が不要 自動でスケールされるので、並列ビルドが可能（待ち時間なし） AWSの他サービス EC2 S3 CodePipeline Lambda などとの連携が容易 CodePipeline と連携すれば、テスト→リリースまでを自動化できる 既存のJenkinsと連携ができ、ビルド処理部分だけを CodeBuild に置き換えも可能 → JenkinsのUIやユーザ管理をそのまま使い続けられるメ

AWSのマネージドなコンテナサービスEC2 Container Service、略してECSのTask definitionを操作していて思うのが、これって**Docker Composeじゃーーん！**です。 各コンテナに必要な定義を別の様式で記述しているわけです。 ECSでもdocker-compose.yml使えたらな〜、と思ったらありました。 Using the Amazon ECS Command Line Interface http://docs.aws.amazon.com/ja_jp/AmazonECS/latest/developerguide/ECS_CLI.html ECSをコマンドラインから使うものではあるのですが、おまけ（？）として、コンテナをデプロイするのにdocker-compose.ymlが使えます。操作があいまいになりがちなGUIを使わなくていい上に、C

はじめに 以前、S3上の静的コンテンツを独自ドメインで公開ということでバンドのHPを2つほど作りました。 take-she12.hatenablog.com take-she12.hatenablog.com で、CloudFrontのcacheはデフォルトのままなので24時間有効。そのためHPを更新しても最大24時間更新されないんですね。最初は別にいいかと思っていたんですが、ローカルでテストしているとはいえ本番デプロイまで見届けたいということと、更新後の告知まで一緒にやってしまいたいと思ったので、自動でキャッシュを削除させました。 tl;dr - aws configure set preview.cloudfront true - aws cloudfront create-invalidation --distribution-id <your-distribution-id> --

ポリシーの作成が完了したら、ユーザーの追加を行います。アクセスの種類は「プログラムによるアクセス」のみを選択、アクセス権限は「既存のポリシーを直接アタッチ」の画面から先程作成した「s3-auth」を選択します。 2. S3アクセスポリシーの設定 次に、S3バケットのアクセスポリシーを設定します。 今回は以下3つのアクセス権限を記載しました。 管理者アカウント：バケット操作に対する全権限を付与する。 パブリック（サイト訪問者）：S3へのGetObjectのみを許可。 CircleCI用権限：PutObject, ListBucket, DeleteObjectのみを許可。 バケットを作成したら、[アクセス権限]>[バケットポリシー]からS3へのアクセスポリシーを設定します。 { "Version": "2012-10-17", "Id": "YOUR_ID", "Statement": [

よく忘れるシリーズ。 AWS の特定の S3 バケットにだけアクセスできる IAM ユーザーを作る方法です。 想定される用途 自分の場合、最近のフロントエンドは SPA を作ることが多いので、フロントエンドのコードを Webpack で bundle にビルドして S3 へデプロイします。 この辺りは CI サービスを利用して自動化しているのですが、その時に AWS の IAM を作成し、そのアクセスキーを使って特定の S3 バケットにデプロイするようにします。 特定のバケットにだけアクセスできるようにしているのは、不慮の事故で他の S3 バケットに影響を及ぼさないためです。 IAM ユーザーの作り方 IAM ユーザーの作り方は至って単純で、AWS のコンソールにログインして IAM ユーザーを作成すればいいです。 ところが、特定の S3 にのみアクセスできるようにするためには、カスタムポ

特定のS3のフォルダにしかアクセス権を与えたくない場合、 ポリシーを作成してIAMユーザーに付与し、そのユーザーからフォルダを参照しますが、 マネジメントコンソールから入るとトップページを表示する権限がないので以下のメッセージが表示され目的のフォルダにアクセスできません。 そのため今回は、S3のフォルダおよびそこにしかアクセス出来ないポリシーを作成し、そのポリシーを付与したIAMユーザーのクレンデンシャル情報を使ってCyberduckからアクセスする方法を紹介します。 手順 手順は以下になります。 フォルダの作成 ポリシーの作成 IAMユーザの作成 Cyberduckの設定 １．フォルダの作成 S3のコンソールから「バケットを作成」ボタンをクリックし、バケット名とリージョンを選択してバケットを作成します。 この時にバケット名の命名ルールに準じていないとバケットが作成出来ないので注意しましょ

Nuxt.jsのドキュメントのFAQに、AWSのS3へのデプロイの記述がなかったので、CircleCIでテスト&ビルドをしたあとで、デプロイするまでの手順をまとめました。はじめてのCIだったので、なにか変なところがあったらコメントかどこかでご指摘をお願いします。 CIのサービスに何を選ぶか 最初はいくつかのサービスを比較しようと思ったのですが、面倒になってしまったので、名前がグッと来たCircleCIにしました。使ってみて難しそうだったら別のものを試そうと考えていましたが、余計な心配でした。 対象のリポジトリ/目指すかたち こんな感じでテストを走らせて、ビルドして、AWSにデプロイするまでを自動化したい。 https://github.com/noplan1989/aws-rough CircleCI入門 はじめてのCircleCIだったので、ドキュメントを眺めるところからはじめました。

はじめに AWSのEC2にはSecurityGroupと呼ばれるファイアウォールがあります。"指定したIPアドレスから、特定のポートのみアクセスが可能"といった指定をすることでセキュリティを上げることができます。 ただ、会社のような固定IPを持った場所からのアクセスではよいのですが、モバイル機器などを用いる場合は毎回IPアドレスを指定するというのは非現実的です。というわけで、スクリプトをつくって省力化してみました。 sshをする前にSecurityGroupに自分の利用しているIPによるSSHを許可して、ssh終了後に追加したルールを削除するというスクリプトです VPNを使うのが本筋だとはおもいますが、いつもできるというわけではないので、役に立つ場合もあるかもしれません。 スクリプトの概要と実行結果 myssh.sh というシェルスクリプトを作ってみました。短かいコードですのでまずはコード

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

こんにちは。開発支援Gでインフラ運用をしている大島です。 Lambda@Edgeとは、CloudFrontが配信するコンテンツをカスタマイズする関数を実行できる機能のことです。本記事では、これを使ってランディングページ ( 以下LP ) のような静的サイトに対してお手軽にBasic認証を設置する話です。 また、最後におまけ程度ですが、この構成に到るまでの背景も書いていますのでもしよろしければご覧になっていってください。 LP環境をCloudFrontで作るのにBasic認証はどうしよう ? 開発中はデバッグ用の要素や社内開発環境へのリンクなども含まれていたりすることを考えると、何かしらの方法でアクセスを制限する必要があります。nginxなどのwebサーバであればBasic認証の設置も簡単ですが、今回はCloudFront + S3なのでそうそう気軽には設置できません。 そんなときに便利なの

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

開発合宿でhugo + github + CodeBuildを使ってブログ環境を構築したわけですが、 CodeBuildで処理が本当に始まっているのか、ちゃんと処理が完了したのかわからないとちょっと不安です。 そこでCodeBuildの処理の開始と終了を個人Slackに通知するようにしてみました。 最終構成はこんな感じです SlackでIncoming WebHookのURLを取得する まずSlackの設定から”Add an app”でIncoming WebHooksを追加します。 こいつは特定のURLを叩くと任意の内容の通知をしてくれる便利なやつです。 ここでは#awsチャンネルに通知されるように設定しています。 設定したらwebhook用のURLが取得できるのでこれを後ほど使用します。 Lambda関数を作成する 次にAWS Lambda関数を作成します。 実はSlackに通知するテ

はじめに Globis Advent Calendar10日目は、弊社のエンジニアチームを支えるインフラ技術をお伝えいたします。 開発スピードをさらに促進するために、Blue Green Deployment, Infrastrucure as Code, ChatOps など新しい運用思想を積極的に取り入れて、手動でのオペレーションを極力なくしています。 今回は、弊社で実運用しているChatOpsの一例として、CodeBuildの実行結果をslackに通知する方法を、可能な範囲で具体的にお伝えいたします。 設定方法 AWS Lambdaの設定 コード import os import json import urllib.request URL = os.environ['WEBHOOK_URL'] def send_slack(obj): ## slackに通知 method = "P

2017-06-22のアップデートでCodeBuildのビルド結果をCloudWatchEventsで捕捉できるようになりました。 そのままSNSで通知してもいいのですが、LambdaからIncoming Webhookを使ってSlackに通知してみようと思います。 事前準備 以下のことはすでに済んでいる前提で話を進めます。 CodeBuildのプロジェクト作成 SlackのIncoming Webhookの設定(URL発行) 実装 さくっと済ませたいのでServerlessフレームワークを使います。 serverless.yml設定 まあこいつを見てもらおうか service: notify-build-result provider: name: aws runtime: nodejs6.10 timeout: 180 stage: ${opt:stage, self:custom.d