翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
新しい Amazon Redshift クラスターが VPC で起動することを検証
作成者: Priyanka Chaudhary (AWS)
概要
このパターンでは、Amazon Redshift クラスターが仮想プライベートクラウド (VPC) の外部で起動されると自動的に通知するAmazon Web Services (AWS) CloudFormation テンプレートを提供します。
Amazon Redshift は、フルマネージド型、ペタバイト規模のクラウドベースのデータウェアハウス製品です。大規模なデータセットの保存と分析を目的として設計されています。また、大規模なデータベース移行にも使用されます。Amazon Virtual Private Cloud (Amazon VPC) では、AWS クラウドの論理的に隔離されたセクションをプロビジョニングすることで、ユーザーが定義した仮想ネットワーク内でAmazon Redshiftなど AWS リソースを起動できます。
このパターンで提供されるセキュリティコントロールは、AWS CloudTrail ログの Amazon Redshift API 呼び出しを監視し、CreateCluster API と RestoreFromClusterSnapshot API の Amazon CloudWatch Events イベントを開始します。イベントがこれらの API のいずれかを検出すると、Python スクリプトを実行する AWS Lambda を呼び出します。Python 関数はCloudWatch イベントを分析します。Amazon Redshift クラスターがスナップショットから作成または復元され、Amazon VPC ネットワークの外部に表示された場合、この関数は、関連情報 (Amazon Redshift クラスター名、AWS リージョン、AWS アカウント、およびこの通知の送信元である Lambda の Amazon リソースネーム (ARN)) を含む Amazon Simple Notification Service (Amazon SNS) 通知をユーザーに送信します。
前提条件と制限
前提条件
アクティブな AWS アカウント。
クラスターサブネットグループと関連するセキュリティグループを含む VPC。
機能制限
AWS CloudFormation テンプレートに、CreateCluster と RestoreFromClusterSnapshot アクション (新しいクラスター) のみが適用されます。VPC の外部で作成された既存の Amazon Redshift クラスターが検出されません。
このセキュリティコントロールは地域ごとに行われます。監視する AWS リージョンごとにデプロイする必要があります。
アーキテクチャ
ターゲット アーキテクチャ
自動化とスケール
AWS Organizations
ツール
AWS サービス
「AWS CloudFormation」 を使用することで、AWS リソースをセットアップし、迅速かつ一貫したプロビジョニングを行い、AWS アカウントとリージョン全体でライフサイクルの最初から最後までリソースを管理できます。リソースを個別に管理する代わりに、テンプレートを使用してリソースとその依存関係を記述し、それらをスタックとしてまとめて起動して設定できます。
AWS CloudTrail – AWS CloudTrailは、AWS アカウントのガバナンス、コンプライアンス、および運用とリスクの監査を行えるように支援する AWS のサービスです。ユーザー、ロール、または AWS のサービスによって実行されたアクションは、CloudTrail にイベントとして記録されます。
Amazon CloudWatch Events – Amazon CloudWatch Events は、AWS リソースでの変更を説明するシステムイベントのほぼリアルタイムのストリームを提供します。
「AWS Lambda」 – AWS Lambda はサーバーのプロビジョニングや管理を行わずにコードの実行を支援できるコンピューティングサービスです。AWS Lambda は必要に応じてコードを実行し、1 日あたり数個のリクエストから 1 秒あたり数千のリクエストまで自動的にスケーリングします。
Amazon Redshift は、 クラウド内でのフルマネージド型、ペタバイト規模のデータウェアハウスサービスです。ビジネスと顧客のために新しい洞察を得る目的でデータを使用できるために、Amazon Redshift がデータレイクと統合しています。
Amazon S3 — Amazon Simple Storage Service (Amazon S3) は、拡張性の高いオブジェクトストレージサービスで、ウェブサイト、モバイルアプリケーション、バックアップ、データレイクなど、幅広いストレージソリューションに使用できます。
Amazon SNS — Amazon SSimple Notification Service (Amazon SNS) は、ウェブサーバーや E メールアドレスなど、パブリッシャーとクライアント間のメッセージ配信や送信を調整および管理します。
コード
このパターンには、以下の添付ファイルが含まれます。
RedshiftMustBeInVPC.zip— セキュリティコントロール用の Lambda コード。RedshiftMustBeInVPC.yml— イベントとLambda 関数をセットアップする CloudFormation テンプレート。
これらのファイルを使用するには、次のセクションの指示に従います。
エピック
| タスク | 説明 | 必要なスキル |
|---|---|---|
| S3 バケットを定義します。 | Amazon S3 コンソール | クラウドアーキテクト |
| Lambda コードをアップロードする | 添付ファイルセクションで提供された Lambda コード ( | クラウドアーキテクト |
| タスク | 説明 | 必要なスキル |
|---|---|---|
| CloudFormation のテンプレートを起動します。 | S3 バケットと同じAWS リージョンで AWS CloudFormation コンソール | クラウドアーキテクト |
| テンプレートのパラメータを入力します。 | テンプレートを起動すると、次の情報の入力を求められます。
| クラウドアーキテクト |
| タスク | 説明 | 必要なスキル |
|---|---|---|
| サブスクリプションを確認します。 | CloudFormation テンプレートが正常にデプロイされると、指定したメールアドレスにサブスクリプションメールが送信されます。違反通知の受信を開始するには、このメールサブスクリプションを確認する必要があります。 | クラウドアーキテクト |
関連リソース
S3 バケットの作成 (Amazon S3 ドキュメント)
ファイルを S3 バケットにアップロードする (Amazon S3 ドキュメント)
AWS CloudFormation コンソールでのスタックの作成 (AWS CloudFormation ドキュメント)
AWS CloudTrail を使用して AWS API コールでトリガーする CloudWatch Events ルールの作成（AWS CloudTrailドキュメント）
Amazon Redshift クラスターの作成 (Amazon Redshift ドキュメント)
添付ファイル
このドキュメントに関連する追加コンテンツにアクセスするには、次のファイルを解凍してください。「attachment.zip」
