Upgrade to Pro — share decks privately, control downloads, hide ads and more …

(当時)新卒2年目がオンプレADと連携するFSx for Windows File Serv...

(当時)新卒2年目がオンプレADと連携するFSx for Windows File Serverと格闘したお話 / Struggle with FSx for Windows

オンプレADと連携するFSx for Windowsを構築する機会があったため、構築のはまりどころや注意すべきポイントをまとめました。JAWS-UG朝会 #48(2023/8/28)での発表資料となります。朝会のリンクはこちらです。
https://jawsug-asa.connpass.com/event/282613/

More Decks by ひよこインフラエンジニア

Other Decks in Technology

Transcript

  1. 自己紹介 • お仕事 • 某SI企業のクラウドを扱う部署において、基盤の設計~運用保守 • 製造業、地方自治体、金融系などお客様は様々 • 社会人3年目(当時2年目) •

    資格 • 基本情報、応用情報、AWS SAA • 趣味 • 仏像鑑賞、神社仏閣巡り • 好きな仏像:興福寺南円堂 木造四天王立像 ひよこインフラエンジニア @hamijay_cloud Zennにたまに記事を投下 JAWS登壇初めてです
  2. • アジェンダ • Amazon FSx for Windows File Serverの概要 •

    格闘日記 ~夏のファイルシステム構築編~ • まとめ • ゴール • オンプレミスADと連携するFSx For Windowsを構築する上での "嵌まりごと"を紹介し、注意するポイントへの理解を深める ※本発表内容は個人の見解であり、所属組織を代表するものではありません。 ※2023年8月28日現在の情報に基づいています。 本日のゴール
  3. オンプレミスの Microsoft Active Directory または AWS Microsoft Managed AD と統合

    • Active Directory(AD) Windows Serverの機能の1つで、管理するネットワーク上に存在する様々 な資源やその利用者の情報や権限などを一元管理することができるもの。 • ドメインコントローラ ドメイン内の資源や利用者、アクセス権限などの情報を一元的に登録、 管理するためのデータベース。 • Organizational Unit(OU) 設定や権限を管理する最小単位。 FSx for Windows File Serverの概要 参考:[5]
  4. • お品書き 1) やりたいこと 2) オンプレ側の作業 3) AWS側の作業 4) はまりごと

    5) まとめ 格闘日記 ~夏のファイルシステム構築編~
  5. Direct Connect Location 運用管理アカウント 1) やりたいこと 本番アカウント VPC AZ-a AZ-c

    Private subnet 東京リージョン お客様拠点① Transit Gateway Route 53 Private Hosted zone TGW Attachment Endpoints Customer gateway Direct Connect Gateway ALB EC2 Direct Connect S3 Backup CloudWatch Systems Manager 既存システム (ADもここ) FSx(現用) Private subnet EC2 FSx(待機) Private subnet Private subnet 東京リージョン VPC Route53 Resolver インバウンド・アウトバウンド エンドポイント Private subnet Private subnet RDS(現用) RDS(待機)
  6. No プロトコル ポート 説明 1 TCP 53 ドメインネームシステム (DNS) 2

    UDP 3 TCP 88 Kerberos 認証 4 UDP 5 TCP 464 パスワードを変更/設定する (Kerberos) 6 UDP 7 TCP 389 Lightweight Directory Access (LDAP) 8 UDP 9 UDP 123 NTP 10 TCP 135 分散コンピューティング環境/エンドポイントマッパー (DCE/EPMAP ※WindowsではMS-RPC) 11 TCP 445 SMB 12 TCP 636 LDAPS 13 TCP 3268 Microsoft グローバルカタログ 14 TCP 3269 Microsoft グローバルカタログ (SSL) 15 TCP 5985 WinRM 2.0 (Microsoft Windows リモート管理) 16 TCP 9389 マイクロソフト AD DS Web サービス、PowerShell 17 TCP 49152-65535 RPC 用のエフェメラルポート 2) オンプレ側の作業 参考:[3][4]
  7. 3) AWS側の作業 No ファイルシステム作成後に 変更可能なパラメータ 1 ファイルシステム名 2 ストレージ容量 3

    スループットキャパシティ 4 VPC セキュリティグループ 5 DNS サーバーの IP アドレス 6 サービスアカウントのユーザー名 7 毎日の自動バックアップウィンドウ 8 自動バックアップ保持期間 9 週次メンテナンスウィンドウ 10 ファイルシステム名の監査 ・入力したパラメータを確認し、作成ボタンを クリック ・ステータスがCREATING→AVAILABLE になるまで約30分
  8. 4) はまりごと No プロトコル ポート 説明 10 TCP 135 分散コンピューティング環境/エンドポイントマッパー

    (DCE/EPMAP ※WindowsではMS-RPC) 15 TCP 5985 WinRM 2.0 (Microsoft Windows リモート管理) 16 TCP 9389 マイクロソフト AD DS Web サービス、PowerShell 17 TCP 49152-65535 RPC 用のエフェメラルポート ② 業務チームとの連携 • オンプレでADやファイルサーバーを利用していたからこその先入観 • 資料ベースでやり取りし、会議形式での認識合わせは未実施 • AWSの表記(インバウンド/アウトバウンド)に基づいており、 業務チーム設計書のフォーマット(Source/Destination)と不一致
  9. 4) はまりごと 単語 説明 セキュリティに関するトピック Windows PowerShell Windowsが標準で備えるコマンドライン方式の シェル及びスクリプト実行環境の1つ。 システムの情報を入手・変更できるコマンド

    レットを組み合わせ、複雑な処理をスクリプト として記述可能。 POWELIKS(2014年) [※6より抜粋] ファイルレス攻撃(ファイルレスマルウェア)の 1種。ディスクには痕跡を残さず、標準で 組み込まれているソフトを使用し、メモリ内に 常駐することで、攻撃を実行する。 Windows Remote Management (WinRM) PowerShellを遠隔から操作する機能。 他のWindowsコンピュータのコマンドライン を呼び出し、コマンドの実行やプログラム の起動が可能。 Remote Procedure Call (RPC) あるコンピュータで動作するソフトウェア から、通信回線やコンピュータネットワーク を通じて別のコンピュータ上で動作するソフト ウェアへ処理を依頼したり、結果を返したり するための規約。 CVE-2022-26809 [※7より抜粋] RPCランタイムにおけるリモートコード実行の 脆弱性(CVSS9.8) 脆弱性が攻撃者によって悪用されると、影響を受け るシステム上で高い特権を用いてリモートでコード 実行される可能性がある。この脆弱性を悪用する際 にユーザによる操作を必要としないため、少なく ともRPCが届くシステム間では、これらの要因が 組み合わさって、ワーム活動が可能になる。 MS-RPC RPCの1つであるDistributed Computing Environment(DCE)を、Microsoftが自社 製品向けに拡張したもの。IANAではDCE endopoint resolution(emap)という名称で 登録されている。
  10. [1] AWS, Amazon FSx for Windows File Server Windowsユーザーガイド <https://docs.aws.amazon.com/ja_jp/fsx/latest/WindowsGuide/what-is.html>

    [2] AWS, Amazon FSx for Windows File Server のよくある質問 <https://aws.amazon.com/jp/fsx/windows/faqs/> [3] ディーネット, FSx for Windows File Server でファイルサーバを♪ <https://blog.denet.co.jp/amazon-fsx-for-windows-file-server-making04/> [4] クラスメソッド, Amazon FSx for Windows File Server を最低限の手順で構築 してみた <https://dev.classmethod.jp/articles/fsx-for-windows-file-server-walkthrough/> 参考 (2023/8/27 閲覧)
  11. [5] インセプト, IT用語辞典 <https://e-words.jp/> [6]トレンドマイクロ, 「POWELIKS」:Windows レジストリに不正なコードを 隠ぺいする不正プログラムを確認 <https://blog.trendmicro.co.jp/archives/9595> [7]トレンドマイクロ,

    2022年4月のセキュリティアップデート解説 <https://www.trendmicro.com/ja_jp/research/22/d/security-update-review- April-2022.html> [8] 上原孝之『情報処理教科書 情報処理安全確保支援士 2023年版』翔泳社,2022. 参考 (2023/8/27 閲覧)