Alibaba Cloudの紹介とパブリッククラウドでのセキュリティ

Alibaba Cloudをご紹介するとともに、パブリッククラウドでのセキュリティの考え方についてお伝えします。

Transcript

1. Alibaba Cloudの紹介と パブリッククラウドでのセキュリティ パブリッククラウドのセキュリティ基礎とInfrastructure as Code 1 Security Study #2 @mosuke5 2017/11/22
2. Who are you? 2 名前：もーすけ @mosuke5 仕事： 　Alibaba Cloud ソリューションアーキテクト 　以前はソフトウェアエンジニア 最近： 　Alibaba Cloudについてポッドキャストで話してきました
3. 「Alibaba Cloud ポッドキャスト」で検索 3
4. Alibaba Cloudとは 4
5. 世界最大のトランザクションを支える基盤 約2.8兆円の売上
6. 2016年12月東京リージョン開設 6 2016年12月 東京リージョン開設
7. プロダクトラインナップ 7 Block Storage OSS Object Storage Service Archive Storage NAS Network Attached Storage Message Service グローバル IDC リージョン アベイラビリティゾーン Technical Support Professional Services Training & Certification Cloud Architects Pricing Report ECS Elastic Compute Service Auto Scaling SLB Server Load Balancer Container Service HPC High Performance Compute BatchCompute FunctionCompute RDS Relational Database Servie Oceanbase Memcache Table Store Redis MongoDB DMS Database Management Analytic DB DTS Data Transmission Service PetaData VPC Virtual Private Cloud ExpressConnect Elastic IP CDN HA-IP High Availability IP Nat Gateway EDAS Enterprise Distributed Application Service ONS Open Notification Service HttpDNS Log Service ROS Resource Orchestration Service Performance Testing Live streaming Domain IOT Suit DirectMail DataV Rec Eng DataHub Image MaxCompute EMR DataIDE Face Rec API RAM Resource Access Management CLI Cloud Monitor Anti-DDoS Cloud Shield WAF Web Application Firewall HSM Hardware Secure Module KMS Key Management Service Server Guard Action Trail ビッグデータ アプリケーションサービス Support コンピューティング ネットワーク ストレージ データベース 基　　盤 DevOps 管理・セキュリティ JPサイトで提供
8. 軽くデモンストレーション Alibaba Cloudどんなもんよ 8
9. パブリッククラウドで 注意すべきセキュリティ 9
10. パブリッククラウドの責任共有モデル（IaaS） 10 データセンター 基盤サービス データ通信の暗号化 仮想サーバ内 データ アプリケーション コンピューティング ストレージ ネットワーク データベース リージョン ゾーン OS ネットワーク ファイアウォール お客様 プロバイダー アカウント 権限設定
11. パブリッククラウドの責任共有モデル 11 データセンター 基盤サービス データ通信の暗号化 仮想サーバ内 データ アプリケーション コンピューティング ストレージ ネットワーク データベース リージョン ゾーン OS ネットワーク ファイアウォール お客様 プロバイダー アカウント 権限設定
12. セキュリティグループ クラウドプラットフォーム側で用意し ている、ファイアウォールの機能。 セキュリティグループに所属する、 サーバすべてに対して通信設定を反 映することができる。 ポートやプロトコル、IPアドレスなど で通信の制限をすることができま す。 12 VPC ECS （踏み台/NAT） http:80 セキュリティ グループB セキュリティ グループA ECS （Webサーバ） ssh 同じグループ内のサーバ群はグループに 追加することで簡単に設定を共有 インターネットと直接アクセスするサーバ群の セキュリティグループは制限を強化しておくとい いです ssh
13. パブリッククラウドの責任共有モデル 13 データセンター 基盤サービス データ通信の暗号化 仮想サーバ内 データ アプリケーション コンピューティング ストレージ ネットワーク データベース リージョン ゾーン OS ネットワーク ファイアウォール お客様 プロバイダー アカウント 権限設定
14. クラウド上のアカウントの整備 • 管理者アカウントは基本的に利用しない • サブアカウントを作って利用する権限を明確にする • セキュリティは外からだけではない。中からも。 14 管理者 アカウント サブ アカウント ユーザ毎に利用できる サービスや操作権限を制御
15. すべてのセキュリティ設定、 GUIからすべて操作、管理します か？できますか？ 15
16. Infrastructure as Code 「Infrastructure as Codeは自動化、バージョン管理、テスト、継 続的インテグレーションといった、ソフトウェア開発のプラクティス をシステム管理に応用するための方法です。」 出典: Infrastructure as Code クラウドにおけるサーバ管理の原則とプラクティス（ O’Reilly Japan） 16
17. Terraform 17 • HashiCorp製のインフラの構築・管理ツール。 • 構築したいインフラ構成をファイルに定義する。 • Terraformを実行するとファイルに定義した構成がクラウド上 に構築されるというもの。 <対応サービス例> ・AWS ・Alibaba Cloud ・Google Cloud Platform ・Microsoft Azure
18. Terraform Demonstration 18
19. クラウドセキュリティの新しい流れ HashiCorp Sentinel “Policy as code is the next phase of infrastructure automation” 19
20. Sentinel Code Smaple 20
21. その他、Alibaba Cloudのセキュリティサービス群 21 Data Risk Management Network Host & Application リスク状況の可視化 SSL管理 データ暗号化 エージェント型 セキュリティ モバイル アプリ WAF Anti-DDoS
22. 懇親会でビール飲みながら いろいろとお話しましょう 22
23. 参考URL • nobolycloudのポッドキャストでAlibaba Cloudについて話し てきた ◦ https://blog.mosuke.tech/entry/2017/10/06/nobolycloud/ • Hashicorp Sentinel ◦ https://www.hashicorp.com/sentinel • AWS 責任共有モデル ◦ https://aws.amazon.com/jp/compliance/shared-responsibility-model/ 23