新しい Amazon Redshift クラスターに必要な SSL エンドポイントがあることを確認する - AWS 規範ガイダンス
概要前提条件と制限アーキテクチャツールエピック関連リソース添付ファイル

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

新しい Amazon Redshift クラスターに必要な SSL エンドポイントがあることを確認する

作成者: Priyanka Chaudhary (AWS)

概要

このパターンは、セキュアソケットレイヤー (SSL) エンドポイントなしで新しい Amazon Redshift クラスターが起動されたときに自動的に通知するAmazon Web Services (AWS) CloudFormation テンプレートを提供します。

Amazon Redshift は、 フルマネージド型、ペタバイト規模のクラウドベース型データウェアハウスサービスです。大規模なデータセットの保存と分析を目的として設計されています。また、大規模なデータベース移行にも使用されます。セキュリティ上の理由から、Amazon Redshift はユーザーの SQL Server クライアントアプリケーションと Amazon Redshift クラスター間の接続を暗号化する SSL をサポートしています。クラスターが SSL 接続を要求するように設定するには、リリースの間クラスターに関連付けられているパラメータグループで require_SSL パラメータを true に設定します。

このパターンで提供されるセキュリティコントロールは、AWS CloudTrail ログ内の Amazon Redshift API コールを監視し、「クラスターの作成」、「クラスターの変更」、「クラスタースナップショットからリストアする」、「クラスターパラメータグループの作成」、および 「クラスターパラメータグループの変更」API の Amazon CloudWatch Eventsを開始します。イベントがこれらの API のいずれかを検出すると、Python スクリプトを実行する AWS Lambda を呼び出します。Python 関数は、リストされている CloudTrail イベントの CloudWatch イベントを分析します。Amazon Redshift クラスターが既存のスナップショットから作成、変更、または復元されるとき、クラスターの新しいパラメータグループが作成されるとき、または既存のパラメータグループが変更されると、関数はクラスターのrequire_SSLパラメータをチェックします。パラメータ値がfalseの場合、関数は Amazon Redshift クラスター名、AWS リージョン、AWS アカウント、およびこの通知の送信元である Lambda の Amazon リソースネーム (ARN) などの関連情報を含む Amazon Simple Notification Service (Amazon SNS) 通知をユーザーに送信します。

前提条件と制限

前提条件

  • アクティブな AWS アカウント。

  • クラスターサブネットグループと関連するセキュリティグループを持つ仮想プライベートクラウド (VPC)

機能制限

  • このセキュリティコントロールは地域ごとに行われます。監視する AWS リージョンごとにデプロイする必要があります。

アーキテクチャ

ターゲットアーキテクチャ

SSL エンドポイントなしで新しい Amazon Redshift クラスターが起動されたときに通知を送信するワークフロー。

自動化とスケール

ツール

AWS サービス

  • 「AWS CloudFormation」 を使用することで、AWS リソースをセットアップし、迅速かつ一貫したプロビジョニングを行い、AWS アカウントとリージョン全体でライフサイクルの最初から最後までリソースを管理できます。リソースを個別に管理する代わりに、テンプレートを使用してリソースとその依存関係を記述し、それらをスタックとしてまとめて起動して設定できます。

  • Amazon CloudWatch Events – Amazon CloudWatch Events は、AWS リソースの変更を説明するシステムイベントのほぼリアルタイムのストリームを提供します。

  • 「AWS Lambda」 – AWS Lambda はサーバーのプロビジョニングや管理を行わずにコードの実行を支援できるコンピューティングサービスです。

  • Amazon Redshift - Amazon Redshift は、クラウド内でのフルマネージド型、ペタバイト規模のデータウェアハウスサービスです。

  • Amazon S3 — Amazon Simple Storage Service (Amazon S3) は、オブジェクトストレージサービスです。Simple Storage Service (Amazon S3) を使用すると、いつでもウェブ上の任意の場所から任意の量のデータを保存および取得できます。 

  • Amazon SNS — Amazon Simple Notification Service (Amazon SNS) は、ウェブサーバーやメールアドレスなど、パブリッシャーとクライアント間のメッセージ配信または送信を調整して管理します。サブスクライバーは、サブスクライブしているトピックに対して発行されたすべてのメッセージを受信します。また、同じトピックのサブスクライバーはすべて同じメッセージを受信します。

コード

このパターンには、以下の添付ファイルが含まれます。

  • RedshiftSSLEndpointsRequired.zip — セキュリティコントロール用の Lambda コード。

  • RedshiftSSLEndpointsRequired.yml — イベントとLambda 関数をセットアップする CloudFormation テンプレート。

エピック

タスク説明必要なスキル

S3 バケットを定義します。

「Amazon S3 コンソールで」、Lambda コードの.zip ファイルをホストする S3 バケットを選択または作成します。この S3 バケットが、監視したい Amazon Redshift クラスターと同じ AWS リージョンに存在する必要があります。S3 バケット名はグローバルに一意であり、名前空間はすべての AWS アカウントによって共有されています。S3 バケット名には、先頭にスラッシュを含めることはできません。

クラウドアーキテクト

Lambda コードをアップロードします。

「添付ファイル」セクションにある Lambda コードの.zip ファイルを S3 バケットにアップロードします。

クラウドアーキテクト
タスク説明必要なスキル

AWS CloudFormation のテンプレートを起動します。

S3 バケットと同じ 「AWS リージョンで AWS CloudFormation コンソール」を開き、添付のテンプレート RedshiftSSLEndpointsRequired.yml をデプロイします。AWS CloudFormation テンプレートのデプロイに関する詳細については、CloudFormation ドキュメントの「AWS CloudFormation コンソールでのスタックの作成」を参照してください。

クラウドアーキテクト

テンプレートのパラメータを入力します。

テンプレートを起動すると、次の情報の入力を求められます。

  • S3 バケット: 最初のエピックで作成または選択したバケットを指定します。ここで添付の Lambda コード (.zip ファイル) をアップロードしました。

  • S3 キー: S3 バケット内の Lambda .zip ファイルの場所を指定します (たとえば、<ファイル名>.zip または <コントロール/ファイル名>.zip)。先頭にスラッシュを含めないでください。

  • 通知 E メール：Amazon SNS 通知を受け取る E メールアドレスを入力します。

  • Lamba ロギングレベル：Lambda 関数のロギングレベルと頻度を指定します。Info を使用して、を使用して、進行状況に関する詳細な情報メッセージをログに記録し、引き続きデプロイを続行できるエラーイベントにはエラー 、潜在的に有害な状況の場合は警告 を使用します。

クラウドアーキテクト
タスク説明必要なスキル

サブスクリプションを確認します。

CloudFormation テンプレートが正常にデプロイされると、指定したメールアドレスにサブスクリプションメールが送信されます。違反通知の受信を開始するには、このメールサブスクリプションを確認する必要があります。

クラウドアーキテクト

関連リソース

添付ファイル

このドキュメントに関連する追加コンテンツにアクセスするには、次のファイルを解凍してください。「attachment.zip」