カテゴリー: クラウド

カテゴリー
2024年 Azure Microsoft MS Azure Administrator MS Azure Fundamentals クラウド コンピューター 技術一般 認定資格

MS Azure を学ぶ (3) リソースグループの作成と管理 2


にほんブログ村

合格した Azure Administrator (AZ-104）の更新日がだんだんと近づいてきましたので、復習を兼ねて少しずつアウトプットしていきたいと思います。

私が勉強に使った教材は、こちらでブログで紹介しています。

リソースグループのメリット

リソースグループにリソースをまとめておくことで、次のようなメリットがあります。

  • リソースの閲覧がしやすくなる
  • リソースグループごとに課金情報を整理することで、各グループの費用を明確把握できる
  • 不要になったリソースを複数まとめて削除できる
  • リソースグループを対象としたテンプレートを活用することで、複数のリソースを一括してデプロイできる
  • 権限やポリシーを複数のリソースに対してまとめて付与できる
  • リソースへのアクセス権限を集中管理し、セキュリティーを強化できる

パソコンに例えると、テキストや Excel、Word などのファイルを「フォルダに格納して整理」することに似ています。

パソコンで、フォルダごと削除、フォルダに権限を付与するといったことが可能なように、Azure ではリソースグループを使って、まとめて管理が可能となります。

リソースグループの一般的な使われ方

ライフサイクルの異なるリソースごとで分類するのが一般的な使い方となります。

  • 開発環境
  • 検証環境
  • 本番環境　など

特に、一時的にテストや検証で利用したい環境などを作成し、後からまとめて削除する場合は、一つのリソースグループにまとめておくと便利です。

リソースグループの注意点

リソースグループを使う上で、いろいろと注意点があります。

  • リソースグループは入れ子にできない
  • リソースグループに所属するリソースのリージョンは別々でもOK（別リージョンにある各リソースを、同じリソースグループに入れることが可能）
  • リソースは、複数のリソースグループに所属できない（どれか一つのリソースグループにのみ所属）
  • 後から別のリソースグループに移動させることもできる

リソースグループの移動

移動操作の間は、ソース グループとターゲット グループの両方がロックされます。

つまり、これらのリソース グループに対する書き込み操作および削除操作は、移動が完了するまでブロックされます。 このロックはリソース グループでリソースを追加、更新、削除できなくなることを意味します。 リソースは停止されません。

たとえば、Azure SQL 論理サーバー、そのサーバーのデータベース、そのサーバーに依存している他のリソースを新しいリソースグループやサブスクリプションに移動しても、そのデータベースを使用するアプリケーションにダウンタイムは発生しません。 引き続きデータベースの読み取りと書き込みを行うことができます。

ロックは最大 4 時間継続できますが、ほとんどの移動は短い時間で完了します。

リソースを移動しても、新しいリソース グループまたはサブスクリプションに移動されるだけです。 リソースの場所は変わりません。

仮想マシンの作成

それでは、今後は移動対象となるリソースを作成したいと思います。

「作成」ボタンを押します。

リソースの作成

マーケットプレースの画面が表示されます。

Fedora Linux を起動させてみましょう。

インスタンスの起動

「作成」ボタンを押します。

インスタンスの作成

Fedora 向けに、以下の項目を指定してきます。

  • サブスクリプション
  • リソースグループ
  • 仮想マシン名（Fedora Linux の名前）

ここで指定するリソースグループは、デフォルトの名前を使用します。これにより、その名前のリソースグループが新規で作成され、リソースがそこに作成されます。

管理アカウントの認証の種類では、今回はパスワードを指定します。

ログインの際に使用するユーザー名とそのパスワードを指定します。

「次：ディスク」を押して次に進みます。

インスタンスの作成

テストで動かすだけの仮想マシンなので、最小の構成にしておきます。

「次：ネットワーク」を押して、次に進みます。

インスタンスの作成

テストなので、ここも基本的にはそのままで良いでしょう。

「確認および作成」をクリックして、次に進みます。

ネットワークの作成

最終確認をして「作成」ボタンを押します。

インスタンスの作成

仮想マシンの作成が始まりました。これには少し時間がかかります。

インスタンスのディプロイ

作成が完了しました。

ディプロイ完了

リソースグループの作成

Azure ポータルにログインして、サービス一覧を表示しますと、「リソースグループ」が見えます。それをクリックします。

リソースグループの表示

上部メニューから「作成」をクリックして、新規でリソースグループを作成します。

リソースグループの作成開始

以下の項目を指定していきます。

  • サブスクリプション
  • リソースグループ（新規リソースグループの名前）
  • リージョン

移動先のリソースグループとして、「KKInternational-test」という名のリソースグループを新規作成します。

リソースグループの名前とリージョンを指定

「作成」ボタンを押します。

リソースグループの作成

リソースグループが新規作成されました。

リソースグループ作成完了

リソースグループの移動

それでは、作成した仮想マシン（Fedora）を、別のリソースグループに移動させてみたいと思います。

ただいま、この仮想マシンのリソースは、KKInternationa-Linux-test_group という名前のリソースグループ内にあります。

移動元になるリソースグループ名をクリックして、リソース一覧を表示させます。

移動させる対象となるリソースをクリックします。今回は全てのリソースを移動させます。

上部メニューにある「移動」ボタンを押します。

プルダウンメニューが表示されるので、「別のリソースグループに移動する」を選択します。

インスタンスを別のリソースグループへ移動

リソースの移動画面が表示されます。

「リソース」のところで、移動先になるリソース名（先ほど作成したもの）をプルダウンメニューから選択します。

「次へ」を押して進みます。

移動先のリソースグループを指定

検証保留中となり、対象のリソースが移動できるかのチェックが開始されます。

移動の確認中

検証が終わり、全てのリソースが「成功」と表示されました。全てのリソースの移動ができるみたいですね。

「次へ」を押して進みます。

確認完了

「リソースの移動」画面が表示されます。

チェックボックスにチェックを入れ、「移動」ボタンを押します。

さあ、リソースの移動が始まります。

リソース移動の開始

リソースの移動が始まりました。

この移動には、結構時間がかかります。

リソースの移動完了

リソースの移動が完了したら、元のリソースグループ名（KKInt -Linux-test_group）をクリックして、中を見てみましょう。

仮想マシンの作成時に見えていたリソースの一覧がなくなっています。

古いリソースグループの内容（リソースが無くなっている）

今度は、移動先のリソースグループ名（KKInternational-test）をクリックしてみます。

選択した全てのリソースが見えていますね。

新しいリソースグループの内容（リソースが移動して表示されている）

リソースの移動が完了しました。

合格対策Microsoft認定試験AZ-104:Microsoft Azure Administratorテキスト&演習問題

posted with カエレバ

（模擬試験付き）徹底攻略 Microsoft Azure Administrator 教科書 [AZ-104] 対応

posted with カエレバ

関連するブログ：

最近の人気ブログ TOP 10：

最近の記事：

カテゴリー
2023年 Linux SNI (Server Name Indication) Windows クラウド コンピューター 証明書

Server Name Indication (SNI) とは


にほんブログ村

まず、ウェブサーバーなどで使われているバーチャルホストという技術が、どのようなものなのかを知っておく必要があります。

通常はWebサーバやメールサーバを運用するのにドメインの数以上のサーバコンピュータが必要となる。バーチャルホストを利用すると1つのサーバコンピュータで複数のドメインを運用することができ、サーバコンピュータの数を減らし運用のコストを下げることができる。また、後述する名前ベースバーチャルホストの場合はIPアドレスも節約することができる。 また、ドメインの追加も容易で、小規模Webサイトの運営や安価なレンタルサーバサービスなどでの利用が盛んである。

ウィキペディア

SSL/TLS では「同じサーバーは 1つの SSL サーバ証明書しか使えない」のが基本です。

ただ、このままだと不便な場合もあります。例えばレンタルサーバサービスをしているとしましょう。同じサーバを複数のユーザが利用し、更にユーザーごとに異なるドメインを利用するという使い方ができなければ、レンタルサーバーのサービスは成り立ちません。

このために出てきたのが、バーチャルホストです。

バーチャルホストの種類

今時のウェブサーバーでは、1台で複数の ウェブサービスを提供することが当たり前になっています。この技術をバーチャルホストと呼びます。

バーチャルホストには 2種類があります。

  • IP ベース
  • 名前ベース

IP アドレスが複数必要のない名前ベースのバーチャルホストの方が主流ですが、実際は、両方を混在させて使うケースもあります。

名前ベースのバーチャルホストの設定例

IP アドレスは同じで、複数のウェブサイト（ドメイン）を提供するのが特徴です。

# Ensure that Apache listens on port 80
Listen 80

# Listen for virtual host requests on all IP addresses
NameVirtualHost *:80
<VirtualHost *:80>
DocumentRoot /www/kkint1
ServerName www.kkinternational.com

# Other directives here

</VirtualHost>

<VirtualHost *:80>
DocumentRoot /www/kkint2
ServerName www.kkinternational.work

# Other directives here</VirtualHost>

IP ベースのバーチャルホストの設定例

ウェブサイト（ドメイン）毎に、異なる IP アドレスを使うのが特徴です。

Listen 80

<VirtualHost 172.30.30.100>
DocumentRoot /www/kkint1
ServerName www.kkinternational.com

</VirtualHost>

<VirtualHost 172.30.30.200>
DocumentRoot /www/kkint2
ServerName www.kkinternational.work

</VirtualHost>

なぜ SNI が必要なのか

このバーチャルホスト（特に名前ベースの方）が使われ始めたのが理由です。

名前ベースのバーチャルホストには、

  1. 同じ IP アドレスで、複数のウェブサービス（ドメイン）を提供する
  2. それらのウェブサービスは HTTPS を使っていて、サーバー証明書で暗号化されている（現在は HTTPS がほぼ必須）

という特徴があります。

上記 1の特徴から、バーチャルホストを使うウェブサーバーは、「家」よりも「アパートの建物」に似ていると言えます。アパートは、複数の部屋に分かれています。これらの部屋が、ウェブサービスでありドメインです。

次に上記 2の特徴です。この「HTTPS でサーバー証明書を使っている」というところがポイントです。基本的な SSL/TLS の仕様では、サーバー証明書は、同じ IP アドレスにつき 1ドメインしか運用できません。

上記1と2の特徴を考えると、複数のドメイン名をホストするため、IP アドレスだけでは、ユーザーが到達しようとしているドメインを示すのに十分ではありません。

なぜなら、間違った SSL 証明書を表示する可能性があり、HTTPS 接続ができなかったり、または終了されたりしてしまうというケースが発生する訳です。

じゃあ SNI があると？

Server Name Indication（SNI）は、この問題を解決するために作られました。

SNI は、HTTPS で使用される TLS プロトコルの拡張機能として提供されています。

TLS/SSL ハンドシェークに含まれていて、クライアント PC が、到達しようとしている ウェブサイトの正しい SSL 証明書を確認することができるようにします。

Server Name Indication（SNI、サーバー ネーム インディケーション、サーバ名表示）は、SSL/TLSの拡張仕様の一つである。SSLハンドシェイク時にクライアントがアクセスしたいホスト名を伝えることで、サーバ側がグローバルIPごとではなくホスト名によって異なる証明書を使い分けることを可能にする。

ウィキペディア

SNI を利用すると、クライアント PC は SSL/TLS ハンドシェイクの際に「これから通信したいサーバのドメイン名」をサーバに通知します。ウェブサーバーは「どのドメインに対応するサーバ証明書を利用すべきか」を、判断することができるようになります。

これにより、接続したいウェブサービスに必要なサーバー証明書が入手できるという訳です。

SNI をサポートしてないウェブブラウザー

SNI はクライアント側（ブラウザー）で、この機能をサポートしていないといけない訳ですが、古いブラウザーですと SNI をサポートしていません。

  • Windows XP 以前の全ブラウザ
  • IE 6 以前
  • いわゆる「ガラケー」のブラウザ

まあ、こんな古い環境でインターネットのブラウジングをしている人もいないと思いますが。

SNI をサポートしているブラウザーの一覧はこちら

SNI をサポートしているウェブサーバー

  • Apache 2.2.12 以降 + mod_ssl もしくは mod_gnutls
  • Apache Traffic Server（英語版） 3.2.0 以降
  • Cherokee（英語版） (コンパイル時 TLS サポートを有効にした場合)
  • lighttpd 1.4.24 以降(それ以前の1.4.xはパッチ)
  • Nginx と OpenSSL
  • F5 ネットワークス Local Traffic Manager 11.1 およびそれ以降
  • Hiawtha（英語版） 8.6 またはそれ以降
  • IBM HTTP Server 9.0 およびそれ以降
  • LiteSpeed 4.1 およびそれ以降
  • Pound 2.6 以降
  • Apache Tomcat (Java 7 およびそれ以降)
  • Microsoft IIS 8
  • PageKite tunneling reverse proxy
  • Citrix NetScaler 9.3 以降
  • Radware Alteon ADC (AlteonOS 28.1 以降)

関連するブログ：

最近の人気ブログ TOP 10：

最近の記事：

カテゴリー
2023年 Active Directory Azure Microsoft MS Azure Administrator MS Azure Fundamentals クラウド コンピューター 認定資格

MS Azure を学ぶ（2）Azure Active Directory とオンプレ Active Directory の違い

Azure Administrator (AZ-104）に合格しましたので、覚えた内容を忘れないように、これから少しずつアウトプットしていきたいと思います。

私が勉強に使った教材は、こちらでブログで紹介しています。


にほんブログ村

Active Directory（AD） とは

  • AD とは一般的に、Active Directory Domain Service (AD DS) サーバーを指す
  • AD DS とは、認証と認可を行うサーバー
  • ディレクトリーサービスを提供

認証：

  • 「本人確認」のプロセス。
  • コンピューターの世界では、ユーザー名とパスワードを使って本人確認を行う。認証を通じて、「なりすまし」を防止する。

認可：

  • 「その IDが、サービスやアプリケーションにアクセス可能であるか」を確認するプロセス。
  • 認証された IDで、利用できるサービスやアプリケーションの範囲が決定する。

以下、分かりやすく表記するために、オンプレ Active Directoryを AD DS、Azure Active Directory を Azure AD とします。

AD DS と Azure AD の違い

1. 使用範囲の違い

  • AD DS（オンプレ Active Directory）は、オンプレミス向けの認証と認可を提供
  • Azure AD は、クラウド向けの認証と認可を提供

まず、AD DS とAzure Active Directory は、使用の範囲が異なります。

AD DS は、企業の中で、その企業のリソースを管理したり、認証と認可のために使われます。一方で、Azure AD は、クラウド向けの認証と認可とリソース管理のために使われます。

オンプレミス Active Directory
  • 自社データーセンターに AD DS を設置（オンプレミス）
  • 大規模拠点にも AD DS を設置するケースもあり
  • 自社のサーバー（アプリ）へのアクセス制御
Azure Active Directory
  • Azure の自社のテナント上で AD DS を使用（クラウド）
  • Azure の自社のテナント上のサーバー（アプリ）へのアクセス制御
  • Microsoft 365 などの SaaS アプリへのアクセス制御

2. 使用されるプロトコルの違い

  • AD DS は、社内ネットワークで使用され、Kerberos や NTLM を使用
  • Azure AD は、インターネット環境で使用され、SAML、WS–Federation、OpenID Connect、OAuth などのプロトコルを使用

AD DS とAzure AD では、認証と認可でしようされるプロトコルが異なります。

AD DS は、組織内で使われることを前提としており、古くはNTLM、今の主流ですと、Kerberos を使って、認証と認可を行います。

一方で、Aure AD はクラウドを前提としており、SAML、WS-Federation、OpenID Connect、OAuth などといったプロトコルを使って、認証と認可を行います。

オンプレミス Active Directory
  • オンプレ AD DSでディレクトリーサービスを提供
  • Kerberos （古いと LDAP）を使って認証
Azure Active Directory
  • ブラウザーでのアクセスを対象
  • SaaS アプリにアクセスし、Azure AD で認証
  • Azure AD の許可で、SaaS アプリへのアクセス許可を得る

3. 組織構成の違い

  • AD DS は、組織を1つのフォレストとし、その中でドメインを構成し、必要に応じてドメイン同士で信頼関係を結ぶ
  • Azure AD は、Microsoft が提供するAD DS 上で、組織にテナントが割り当てられる

AD DS ではフォーレストという空間を組織毎にドメインで小分けして管理します。それぞれのドメインは、アクセスが必要であれば信頼関係を結びます。

一方で、Azure AD にはドメインという考え方はなく、代わりにテナントいう考え方になります。1つの組織は1つのテナントとして認識されます。信頼関係という考え方もありません。

オンプレミス Active Directory
  • 1つの組織で1つのフォレストを構成
  • フォレストの中にドメインを作成
  • 必要に応じて子ドメインも作成
  • 信頼関係を結ぶことでアクセスの許可
Azure Active Directory
  • Azure AD はマルチテナントで動作
  • 組織は、Azure AD 上で「テナント」として管理
  • 必要に応じて複数のテナントを作成することも可能
  • 信頼関係という考え方はない（それぞれが独立したテナント）

Azure AD は、クラウドベースの ID を一元管理し、アプリケーションへのアクセス要求に対して認証と認可を行います。

また、クラウドサービスとして提供されるものなので、当然ながらドメインコントローラーのようなサーバーの展開はありませんし、ドメインコントローラーのメンテナンスも必要なくなります。

合格対策Microsoft認定試験AZ-104:Microsoft Azure Administratorテキスト&演習問題

posted with カエレバ

（模擬試験付き）徹底攻略 Microsoft Azure Administrator 教科書 [AZ-104] 対応

posted with カエレバ

関連するブログ：

最近の人気ブログ TOP 10：

最近の記事：

カテゴリー
2022年 Azure Microsoft MS Azure Administrator MS Azure Fundamentals クラウド コンピューター 技術一般 管理 認定資格

MS Azure を学ぶ (1) リソースグループの作成と管理

Azure Administrator (AZ-104）に合格しましたので、覚えた内容を忘れないように、これから少しずつアウトプットしていきたいと思います。


にほんブログ村

リソースグループとは

リソースグループとは、Azure上のストレージや仮想マシンなどといったリソースを入れる箱のようなものです。各リソースをまとめて管理できます。

Learn Microsoft の画面

AWSなどでも同じような機能はありますが、必須になってはいませんが、Azureでは、各リソースは必ずどれかのリソースグループに所属する必要があり、必須となっています。

このリソースグループは便利な機能で、例えば各リソースにタグを付けたい場合、リソースグループにタグをつければ、そのリソースグループ内のリソースにも同じタグを付けられますし、リソースグループを削除すれば、そ子に所属している全てのリソースも一斉に削除することもできます。

リソースグループの作成

まず、リソースグループを作成してみましょう。

管理画面トップのテキストボックスに「リソースグループ」と入力して検索します。

メニューに「リソースグループ」が見えました。これをクリックします。

リソースグループの管理画面が開きます。

「作成」をクリックして、リソースグループを新規作成します。

リソースグループの作成画面が開きます。

設定する項目は、以下の3つがあります。

  • サブスクリプション：自分のサブスクリプションを選択
  • リソースグループ：今回作成するリソースグループの名前を入力
  • リージョン：リソースグループを配置するリージョンを選択

サブスクリプションは、課金が発生した際に支払いを行うサブスクリプションを選択します。

リソースグループの名前の注意点ですが、同じ名前のリソースグループは作成できません。以下のようにエラーになります。

リージョンですが、リソースグループに関しては意味はないです。実際にリソースグループの中に入れる各リソースの方は、必ずしもリソースグループと同じリージョンである必要はありません。このリージョンの項目は、単に管理目的となります。

各項目の選択と入力が完了したら、「作成」をクリックします。

リソースグループの一覧に、先ほど作成したリソースグループの名前が表示されましたね。これでリソースグループの作成は完了です。

リソースグループの削除

不要になったリソースグループは削除ができます。

削除したいリソースグループ名をクリックします。

対象リソースグループの管理画面が開きます。

「リソースグループの削除」をクリックします。

削除対象のリソースグループ名を、ここで再度入力します。

削除しようとしているリソースグループが本当に正しいのかを確認するためです。

正しければ、「削除」をクリックします。

リソースグループの一覧から、削除したリソースグループ名が見なくなりました。削除完了です。

このリソースグループの削除で非常に重要なのは、リソースグループを削除すると、そのリソースグループに属している各リソース全てが削除されるという点です。これは非常に便利である反面、非常に危険でもあります。運用稼働中のリソースであっても簡単に削除できてしまうのです。それを回避する機能がロックです。

リソースグループのロック

繰り返しになりますが、リソースグループは、使用する各リソースが入る箱のようなものというお話をしました。リソースグループに所属している各リソースですが、リソースグループを削除すると、その中の全ても削除されてしまいます。

せっかく苦労して作成したシステムも、簡単に削除されてしまいます。

これを避けるために、ロック機能が用意されています。

使用できるロックは2種類となります。

  • 読み取り専用ロック：削除も変更もできなくなります。
  • 削除ロック：削除のみをできなくし、変更は許可します。

まとめると、以下のようになります。

ロックの種類変更削除
読み取り専用ロック　　X　　　　X　　
削除ロック　　○　　　X 　

では実際に、ロック機能を適用してみましょう。

先ほど作成したリソースグループ名をクリックします。

対象リソースグループの管理画面が開きます。

メニューの中から「ロック」をクリックします。

ロックの管理画面が開きます。

「追加」をクリックします。

ロックの種類のプルダウンメニューを開くと、「読み取り専用」と「削除」の2つがあるのが見えますね。

今回は、「削除」ロックを設定してみます。

ロック名は必須です。今回は「delet-lock」とします。

メモはオプションですが、このロックの内容ですとか目的などを入れておくと、後からの管理で便利になります。

「OK」をクリックして、削除ロックを適用します。

作成した削除ロックが適用されたのが分かりますね。

今回適用したのは削除ロックです。リソースグループの削除ができなくなります。それでは試してみましょう。

対象となるリソースグループの名前をクリックし、「リソースグループの削除」をクリックしてみます。

削除対象となるリソースグループの名前を入力し、「削除」をクリックしてみます。

「削除に失敗しました」のメッセージが表示されましたね。削除できなくなっています。

では今度は、削除ロックを解除してみましょう。

対象となるロック名の「削除」をクリックします。

削除が完了し、ロック名が消えました。

それでは、再度、リソースグループを削除してみましょう。

対象となるリソースグループ名をクリックし、「リソースグループの削除」をクリックします。

削除対象となるリソースグループ名を入力し、「削除」をクリックします。

リソースグループの削除が始まりました。

「削除しました」のメッセージが表示されました。

リソースグループの一覧を表示してみましょう。先ほど削除処理したリソースグループ名は見えなくなりました。削除されていますね。

関連する記事：

最近の人気ブログ TOP 10：

最近の記事：

カテゴリー
2022年 AWS AWS Solutions Architect - Associate クラウド コンピューター 技術一般 認定資格

AWSを学ぶ（25）VPCエンドポイントを理解しよう


にほんブログ村

例えば、S3 や DynamoDB などといったサービスは、インターネットから直接利用できる、VPC 外の AWS サービスとなります。

これらへのアクセスは、VPC 内の AWS リソースからインターネットゲートウェイを経由して通信します。つまり、通信がインターネットに一度出ます。

セキュリティーを考えると、インターネットには出したくないというケースもあるでしょう。そこで VPC エンドポイントです。

VPC エンドポイントとは

VPC エンドポイントは、セキュリティ上の制約でインターネットとの通信が制限されているプライベートサブネット内の AWS リソースから、インターネットゲートウェイを経由せずに、VPC 外の AWS サービスへアクセス可能にする機能です。

VPC エンドポイントの種類と特徴

VPC エンドポイントには 3種類があり、それぞれ利用できるAWS サービスが異なります。

1. ゲートウェイエンドポイント（ゲートウェイ型）

ゲートウェイエンドポイントは、Amazon S3 または DynamoDB のみ対応しています。

S3 や DynamoDB へ接続したいリソースが配置されている VPC に VPC エンドポイントを割り当て、ルートテーブルにターゲットが VPC エンドポイントのルーティングを設定します。

ゲートウェイエンドポイントを使って S3 や DynamoDB にアクセスする時のイメージ

DynamoDB はゲートウェイ型のみ利用できますが、S3 はゲートウェイ型と PrivateLink の両方で利用可能です。

ゲートウェイエンドポイントは料金なしで使用できます。

2. インターフェイスエンドポイント（AWS PrivateLink（インターフェイス型））

インターフェイスエンドポイントは AWS PrivateLink を使用し、サービスを送信先とするトラフィックのためのポイントとして Elastic Network Interface (ENI) を使用します。

サービスへ接続したいリソースが配置されているサブネットにプライベートIPアドレスを持つENIを作成し、ENIとサービスをリンクさせます。

AWS PrivateLink を使って CloudWatch や S3 にアクセスする時のイメージ

数多くの AWS サービスに対応しています。

AWS PrivateLinkと統合できる AWS のサービス

プライベート IP アドレスを使用して、VPC 内、オンプレミス、または VPC ピアリングや AWS リージョン を使用する別の AWS Transit Gateway にある VPC から Amazon S3 にリクエストをルーティングすることにより、ゲートウェイエンドポイントの機能を拡張します。

時間単位の使用料金とデータ処理料金が課金されます。

ゲートウェイ型とインターフェース型の比較

https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/userguide/privatelink-interface-endpoints.html#types-of-vpc-endpoints-for-s3

3. Gateway Load Balancer エンドポイント

ゲートウェイロードバランサーのエンドポイントは AWS PrivateLink を使用し、サービスを送信先とするトラフィックのためのポイントとして Elastic Network Interface (ENI) を使用します。

時間単位の使用料金とデータ処理料金が課金されます。

VPC エンドポイントポリシー

エンドポイントの作成時、または変更時にエンドポイントにアタッチする IAM リソースポリシーのことです。

注意点は、以下の通りです

  • エンドポイントの作成時にポリシーを適用しない場合、サービスへのフルアクセスを許可するデフォルトのポリシーが適用
  • サービスがエンドポイントポリシーをサポートしていない場合、エンドポイントはサービスへのフルアクセスを許可

エンドポイントポリシーは、IAM ユーザーポリシーやサービス固有のポリシー (S3 バケットポリシーなど) を上書き、または置き換えません。これは、エンドポイントから、指定されたサービスへのアクセスを制御するための別のポリシーであるためです。

また、1つのエンドポイントに複数のポリシーを関連付けることはできません。

ポリシーはいつでも変更可能です。

おもしろかったら、フォローしてください！

最近の人気ブログ TOP 10：

関連する記事：

最近の記事：

カテゴリー
Apple Azure Microsoft Raspberry Pi SSTP VPN Windows クラウド コンピューター 技術一般

Mac OS で SSTP VPN を使う


にほんブログ村

SoftEter VPN Serverでは、 VPN Azure Cloud を使用することができます。

これを使うことにより、ファイヤーウォール配下に存在するSoftether VPN Server に対しての外部からの VPN 接続で、Inbound NAT や Port Forwarding といった設定を追加する必要がなくなります。

VPN Azure Cloud ですが、名前の通り、Microsoft Azure を利用します。そして、マイクロソフトということで、Secure Socket Tunneling Protocol (SSTP) というプロトコルを使用して接続することになります。

これがちょっと厄介です。マイクロソフト社の提供している OSである Windowsであれば、SSTP を使った VPN は標準で設定できるのですが、Apple 社が提供している OS である Mac OS ではそうは行きません。SSTP は標準では使えません。

ですが、Mac OS で、さらに GUI で簡単に SSTP 接続ができるアプリを見つけました。その名は「iSSTP」 です。

iSSTP

ここからダウンロードができます。

今回実現したいのは、以下の構成です。

私の自宅には Raspberry Pi 4で、Softether VPN Server を動かしています。これに対して、外出先から SSTP VPN で接続して、自宅内の NAS やサーバーにアクセスします。

Raspberry Pi で Softether VPN Server を動かす方法と設定は、こちらの記事が参考になります。

Softether の設定

基本的な設定は完了している前提での説明となります。

基本設定に関しては、上記の記事が参考になります。

Softether 管理コンソールにログインします。

「VPN Azure」をクリックします。

「VPN Azure の設定」の中の「VPN Azure を有効にする」を選択して有効にします。

「現在の VPN Azure ホスト名」のところに表示されている「xxxxx.vpnazure.net」が、SSTP VPN の接続先となる FQDN になります。

「OK」をクリックして設定を適用します。

iSSTP の設定

まず「New」ボタンを押して、接続先の設定を行います。

  • Name: 任意の名前（何でも良いです。分かりやすい名前をつ付けましょう）
  • Server Address: VPN サーバの FQDN を記載（VPN Azure の場合は “xxx.vpnazure.net” になります)
  • Username: VPN 接続のユーザ名（SoftEther VPN で設定した場合は VPN 接続のために用意したユーザー）
  • Password: 上記ユーザーのパスワード

Server Address は、ここに表示されている値（xxxxx.vpnazure.net）です。

Password は、作成したユーザーの中で設定しているパスワード認証の値です。

iSSTP の設定画面で、忘れずに「Save」を押しておきます。これを忘れると、再起動すると設定が消えてしまいます。

SSTP VPN 接続

接続したい設定をクリックします。

画面右下の「Connect」をクリックします。

SSTP VPN 接続が開始されます。

接続が完了すると、VPN 接続先の DHCP の IPアドレスが割り当てられて表示されます。

SSTP VPN 接続切断

VPN 接続を切りたい時は、画面右下の「Disconnect」をクリックします。

ステータスが「Not Connected」になれば、VPN 接続は切断されています。

Raspberry Pi 4
posted with カエレバ

おもしろかったら、フォローしてください！

関連する記事：

最近の記事：

カテゴリー
2021年 Riverbed SD-WAN クラウド コンピューター 技術一般

SD-WAN を試す (2) Controller のインストール


にほんブログ村

某お客様で SD-WAN を導入したいという話がありました。そこでリバーベッドテクノロジー社の SD-WAN 製品であるSteelConnect EX を提案しました。

その時にいろいろと動作確認しましたので、メモとして残しておこうと思いました。

今回は、Controller の初期設定についてです。


にほんブログ村

Controller の初期設定

ヘッドノードの1つである Controller のインストールです。

リバーベッドテクノロジー社のサポートサイトから、OVA ファイルが手に入りますので、それをダウンロードし、ESXi にインストールします。

Controller には、最低3つのネットワークアダプターが必要となりますが、今回の構成では4つのネットワークアダプターで構成します。

OVA ファイルからインストールすると、ネットワークアダプタは1つしかありませんので、三つ追加しておきます。

  • ネットワークアダプタ1

Management Switch に接続させます。これが North-bound になります。

  • ネットワークアダプタ2

Control Switch に接続させます。これが South-bound になります。

  • ネットワークアダプター3

インターネットに接続させます。インターネット越しに接続しにきたSDWANルーターにポリシーを適用します。

  • ネットワークアダプター4

Logical WAN に接続させます。WANとして設定しますが、実際はLAN内のセグメントの1つです。

それでは、Controller インスタンスを起動させ、ログインします。デフォルトのログインアカウントは、admin/versa123 です。

ログインできました。

まず、インターフェースの設定を行います。これは、/etc/network/interfaces ファイルを編集していきます。

エディターソフトとしてvim がインストールされていますので、それを使います。

sudo vim /etc/network/interfaces

初期状態は、以下のように設定されています。

これを、以下のように編集していきます。

ここで設定するのは、eth0 の設定です。

eth0 は、Management Switch に接続されますので、私の環境では、10.100.3.０/24 のセグメントになります。

auto eth0
iface eth0 inet static
address 10.100.3.201
netmask 255.255.255.0
gateway 10.100.3.254

ファイルの編集が完了したら、:wq で保存します。

cat コマンドを使って、interfaces ファイルの内容を表示させて確認してみます。

cat /etc/network/interfaces

記入間違いがなければOKです。

次に、インターフェースの設定情報を表示させます。

ifconfig

eth0 には、まだIPアドレスが設定されてませんね。先ほどの設定内容を反映させる必要があります。

eth0 インターフェースをDownさせます。

sudo ifdown eth0

そして、eth0 インターフェースをUpさせます。

sudo ifup eth0

再度、インターフェースの設定情報を表示させてみます。

eth0インターフェースに、IPアドレスが設定されましたね。

ここでIPアドレスが見えない場合、interfacesファイルの記述が間違っている可能性がありますので、内容を見直してください。

Director のeth0が同じセグメントに接続されています。そのIPアドレスに対してPingを打ってみます。

ping 10.100.3.200

echo reply が返ってきましたね。通信可能ということです。

これで、Controller の初期設定は完了です。次は、Director とController を接続させて設定していきます。

Director からの設定

Director と Controller を連携させていきます。設定は全て、Director 上で行います。

Director のウェブ管理画面にログインします。

  • Name:　Controllerのホスト名を入力します。今回は「CTL-02」としています。
  • Provider Organization:　Director の初期設定の時に作成したOrganizationの名前をプルダウンメニューから選びます。
  • Global Controller ID:　始めの Controller であれば、「1」が表示されます。通番で、Controller が追加される度に数字が上がります。
  • Staging Controller:　このコントローラーをステージング（SDWAN ルーターにコンフィグを渡す作業）で使用するため、チェックボックスにチェックを入れます。
  • IP Address:　Controller の Eth0 の IPアドレスを入力します。入力後、接続性チェックが走ります。エラーになった場合は、Director と Controller 間の接続性を確認してください。
  • Analytics Cluster:　Analytics サーバーをヘッドノードに追加する場合は、Analytic Cluster の名前をプルダウンメニューから選択します。

「Continue」で次に進みます。

次に、Controller の所在地を指定します。

住所を入力後、「Get Coordinates」をクリックすると、正確な位置情報が表示されます。

「Continue」で次に進みます。

Control ネットワーク向けのインターフェースの設定です。

  • Network Name:　Control Switch に接続されるインターフェースの名前です。eth1が使われます。
  • Interface:　vni-0/0 をそのまま使います。
  • VLAN ID:　今回の構成ではVLANは使ってませんので、0のままにします。
  • IP Address/Prefix:　eth1のIPアドレスとサブネットマスクを指定します。
  • Gateway:　eth1のデフォルトゲートウェイを指定します。今回の構成では、特に必要ないので空白にしています。
  • DHCP:　eth1のIPアドレスをDHCPを使って動的アドレスで設定したい場合は、このオプションを有効にします。

「Continue」をクリックして次に進みます。

WAN インターフェースの設定です。

ここではNetwork Nameを指定していく必要があるのですが、初期状態は選択できるものがないため、最初に作成していきます。

画面右上の「+WAN Interface」をクリックします。

最初に作成するのは、「Internet」です。

  • Name:　Internet と入力します。
  • Description:　このWANインターフェースの説明を入力します。
  • Transport Domain:　プルダウンメニューから「Internet」を選択します。

「OK」をクリックして、設定を保存します。

次に、「Logical WAN」を作成します。

再度、画面右上の「+WAN Interface」をクリックします。

  • Name:　Logical_WAN と入力します。
  • Description:　このWANインターフェースの説明を入力します。
  • Transport Domain:　プルダウンメニューには「Logical WAN」がありませので、新規作成します。

「+ Transport Domain」をクリックします。

  • Name:　Transport Domain の名前です。ここでは、Transport と入力します。
  • Description:　このTransport Domain の説明を入力します。
  • Transport Domain ID:　22 と入力します。

「OK」をクリックして、設定を保存します。

Transpor Domain のプルダウンメニューから、「Transport」が選択できるようになりました。

「OK」をクリックして、設定を保存します。

それでは、WAN interfaces を設定していきます。

vni-0/0:　

Control ネットワークへの接続で使いますので、触らないようにします。

vn1-0/1:

インターネットに接続します。

  • Network Name:　プルダウンメニューから、Internet を選択します。
  • IPv4 Address:　インターネットへ接続するアドレスです。ここでは、11.0.0.2/24 としています。
  • IPv4 Gateway:　上記IPアドレスのデフォルトゲートウェイのアドレスです。ここでは、11.0.0.254としています。
  • Public IP Address:　Inbound NATでこのインターフェースにアクセスさせたい場合は、ここにパブリックIPアドレスを指定します。今回は使用しません。
  • WAN Staging:　ステージングの通信を行いたいインターフェースであれば、このオプションを有効にします。

vni-0/2:

Logical WAN に接続します。

  • Network Name:　プルダウンメニューから、Logical WAN を選択します。
  • IPv4 Address:　Logical WANセグメントと通信するためのアドレスです。ここでは、10.100.6.201/24 としています。
  • IPv4 Gateway:　上記IPアドレスのデフォルトゲートウェイのアドレスです。ここでは、10.100.6.254としています。
  • Public IP Address:　Inbound NATでこのインターフェースにアクセスさせたい場合は、ここにパブリックIPアドレスを指定します。今回は使用しません。
  • WAN Staging:　ステージングの通信を行いたいインターフェースであれば、このオプションを有効にします。

「Deploy」をクリックして、設定を適用します。

画面右下にプログレスバーが出力されますので、100％になるまで待ちます。

設定の適用が完了したら、画面右上のTasks（ベルマークの隣のメモ帳のようなアイコン）をクリックします。

ここに、ログが表示されます。

Controller のDeploy のログを確認します。エラーが出力されていなければOKです。

Administration > Appliances の順にクリックします。

アプライアンスのリストに、CTL-02の名前のController が表示されます。

Config SynchronizationとReachabilityが緑マーク、ServiceがUpになていることを確認します。

Controller にログイン

最後の仕上げです。

Controller に、コンソール、またはSSHでログインします。

Controller を再起動し、設定を反映させます。

sudo shutdown -r now

システムの起動が完了したら、Controller にログインします。

関連する記事：

最近の記事：

カテゴリー
2021年 AWS AWS Solutions Architect - Associate Azure Microsoft MS Azure Administrator MS Azure Fundamentals クラウド コンピューター 技術一般 認定資格

MS Azure を学ぶ (0) 用語比較


にほんブログ村

用語比較

並べて比較してみると、やはり分かりやすいです。

Azure の言葉も何となくは知っていたのですが、これではっきりしました。

AWS 用語Azure 用語
EC2 (Elastic Compute Cloud）Virtual Machines
仮想サーバーにより、OS やサーバー ソフトウェアをデプロイしたり、管理や保守が行える。
AWS 用語Azure 用語
Auto ScalingVirtual Machine Scale Sets
負荷を見て、VM インスタンスの数を自動的に変更する。
AWS 用語Azure 用語
VPC (Virtual Private Cloud)VNET (Virtual Network)
クラウド内の分離されたプライベート環境のこと。 ユーザーは、独自の IP アドレス範囲の選択、サブネットの作成したりして、自分の仮想ネットワーク環境を制御できる。
AWS 用語Azure 用語
NAT GatewaysVirtual Network NAT
仮想ネットワークでアウトバウンド専用のインターネット接続が簡単になるサービス。プライベートサブネットで外部ネットワークと通信する際に使用する。
AWS 用語Azure 用語
VPN GatewayVPN Gateway
仮想ネットワークを他の仮想ネットワーク、または顧客のオンプレミス ネットワークに接続 (サイト間) できる。
AWS 用語Azure 用語
Route 53DNS
サービスで提供される DNS。これにより、各 DNS レコードを管理する。
AWS 用語Azure 用語
Direct ConnectExpress Route
ある場所からクラウド プロバイダーへの (インターネット経由ではなく) 専用のプライベート ネットワーク接続を確立する。
AWS 用語Azure 用語
ALB (Application Load Balancer)Application Gateway
レイヤー 7 のロード バランサー。 SSL ターミネーションやラウンド ロビンによるトラフィックの負荷分散をサポートする。
AWS 用語Azure 用語
NLB (Network Load Balancer)Load Balancer
レイヤー 4 (TCP または UDP) でトラフィックを負荷分散する。
AWS 用語Azure 用語
CloudFrontAzure CDN
クラウドプロバイダーで提供される CDN サービス
AWS 用語Azure 用語
Certification Managerポータルで使用可能な App Service 証明書
クラウド内で証明書をシームレスに作成、管理できるようにするサービス。
AWS 用語Azure 用語
S3 (Simple Storage Services)Blob Storage
バックアップ、アーカイブ、ディザスター リカバリーなど向けのオブジェクト ストレージ サービス。
AWS 用語Azure 用語
EBS (Elastic Block Storage)マネージドディスク
I/O 集中型読み取り/書き込み操作用に最適化された SSD ストレージ。
AWS 用語Azure 用語
S3 GlacierStorage アーカイブアクセス層
ストレージ コストが最も低くいアーカイブ ストレージ。

Azure Administrator (AZ-104）の教材

私がAZ-104に合格するまでに使った教材を紹介します。

合格対策Microsoft認定試験AZ-104:Microsoft Azure Administratorテキスト&演習問題

posted with カエレバ

Azure をあまり触ったことのない人は、これから始めるのが良いかと思います。

内容は分かりやすく、全分野をカバーはしています。ただ、深いところまでは説明がなく、これだけで合格は厳しいと思います。

（模擬試験付き）徹底攻略 Microsoft Azure Administrator 教科書 [AZ-104] 対応

posted with カエレバ

この教材が一番良いのではと思います。試験内容をカバーしているのは当然ですが、説明もしっかりしています。

ただ、この教材に付いている模擬問題は、本番の内容に比べると簡単なので、この問題を解ければ合格とは思わない方がいいです。

試験前の力試しには、やはりUdemyの問題が良いです。

私は以下の2つを使いましたが、本番を想定した内容となっており、しかも、いくつかはほぼ同じ内容の問題も出ていました。

AZ-104: Microsoft Azure Administrator 模擬試験問題集

AZ-104: Microsoft Azure Administrator 2022年 模擬試験問題集

関連する記事：

最近の記事：

カテゴリー
2021年 AWS Solutions Architect - Associate MS Azure Fundamentals クラウド コンピューター 技術一般 認定資格

クラウドサービス：AWSとAzureの違い


にほんブログ村

AWS シリーズ

Microsoft Azure シリーズ

カテゴリー
2021年 Riverbed SD-WAN クラウド コンピューター 技術一般

SD-WAN を試す (1) Director のインストール

某お客様で SD-WAN を導入したいという話がありました。そこでリバーベッドテクノロジー社の SD-WAN 製品であるSteelConnect EX を提案しました。

その時にいろいろと動作確認しましたので、メモとして残しておこうと思いました。


にほんブログ村

Director の初期設定

まずは、ヘッドノードの1つである Director のインストールです。

リバーベッドテクノロジー社のサポートサイトから、OVA ファイルが手に入りますので、それをダウンロードし、ESXi にインストールします。

Director には、最低2つのネットワークアダプターが必要となります。OVA ファイルからインストールすると、ネットワークアダプタは1つしかありませんので、もう一つ追加しておきます。

  • ネットワークアダプタ1

Management Switch に接続させます。これが North-bound になります。

  • ネットワークアダプタ2

Control Switch に接続させます。これが South-bound になります。

ネットワークアダプターが 2つにになりましたので、早速、Director の仮想アプライアンスを起動させます。

Director にログインします。

デフォルトのログインアカウントは、Administrator/versa123 です。

ログインできたら、初期設定をしていきます。

Do you want to enter setup? (y/n)?

セットアップを開始しますか？

y で進みます。

[sudo] password for Administrator

Administrator のパスワードを入力してください。

ログインした時のパスワードを入力します。

Do you want to setup hostname for system? (y/n)?

システムのホスト名を設定しますか？

y で進みます。

Enter hostname:

ホスト名を入力してください。

Director のホスト名を入力します。ここでは「DIR-01」としてます。

Do you want to set up network interface configuration? (y/n)?

ネットワークインターフェースの設定を行いますか？

y で進みます。

Enter interface name [eg. eth0]

設定するインターフェース名を指定してください。

eth0 と入力し、このインターフェースの設定を行います。

Enter IP Address:

IPアドレスを入力してください。

今回は、10.100.3.200 とします。これは、Managementネットワークに所属するアドレスです。

このネットワーク経由で、ウェブ管理画面へのアクセスや、SSH でのアクセスを行います。

Enter Netmask Address:

ネットマスクを入力してください。

今回は、255.255.255.0 (24 bit) とします。

Configure Gateway Address? (y/n)?

ゲートウェイのアドレスを設定しますか？

y で進みます。

Enter Gateway Address:

ゲートウェイのアドレスを入力してください。

今回は、10.100.3.254 とします。

Configure another interface? (y/n)?

別のインターフェースを設定しますか？

y で進みます。

Enter interface name [eg. eth0]

インターフェースの名前を入力してください。

eth1 と入力します。

Enter IP Address:

IPアドレスを入力してください。

今回は、10.100.4.200 とします。これは、Control ネットワークのアドレスです。

Enter Netmask Address:

ネットマスクを入力してください。

今回は、255.255.255.0 とします。

Configure another interface? (y/n)?

別のインターフェースを設定しますか？

今回の構成では、ネットワークインターフェースは 2つになりますので、n で進みます。

Configure North-Bound interface (If not configured, default 0.0.0.0 will be accepted)(y/n)?

North-Bound インターフェースを設定しますか？（もし設定しない場合、デフォルトの0.0.0.０が適用されます）

y で進みます。North-Bound インターフェースに、デフォルトルートが適用されます。

North-Bound インターフェースの設定です。

Enter interface name [eg. eth0]

インターフェース名を入力してください。

今回の構成では、eth0 を North-Bound インターフェースとします。eth0 を指定します。

South-Bound インターフェースの設定です。

Enter interface name [eg. eth0]

インターフェース名を入力してください。

今回の構成では、eth1 を South-Bound インターフェースとします。eth1 を指定します。

Configure another South-Bound interface? [y/n]?

別のSouth-Bound インターフェースを設定しますか？

今回の構成では、South-Bound インターフェースは 1つとします。n で進みます。

Enable secure mode for Director HA ports [y/n]?

Director HA ポート向けにセキュアモードを有効にしますか？

今回の構成では、Director は HA 構成とはしません。n で進みます。

Secure Director HA communication? [y/n]?

Director のHAコミュニケーションを暗号化しますか？

今回の構成では、Director は HA 構成とはしません。n で進みます。

Prompt to set new password at first time UI login [y/n]?

最初にウェブ管理画面にアクセスした時に、パスワード変更の連絡を出力させますか？

ウェブ管理画面に初めてアクセスした際に、ログインパスワードを変更したい場合、y とします。

今回は変更しませんので、n で進みます。

設定が適用され、各種サービスが停止し始めます。

設定が完了し、各種サービスが起動ました。

Press ENTER to continue

エンターキーを押し進んでください。

Enter キーを押します。

ログインプロンプトが表示されますので、Director にログインします。

設定を完了させるため、システムを再起動します。

Linux のシャットダウンコマンドです。実行するためには、「sudo」を付けておく必要があります。

sudo shutdown -r now

ウェブブラウザーに、Director の eth0 の IPアドレスを指定し、Director のウェブ管理画面にアクセスします。

http://10.100.3.200

ログインできました。

Organization の作成

Organization とは、これから追加する Controller や SD-WAN ルーターが所属する組織（いわゆるグループ）のことです。

この Organization を一括りにして管理することができます。

SteelConnect EX は、マルチテナントをサポートしています。つまり、この Organization が複数作成できます。そして、Organization-1 は Organization-2 にはアクセスできず、設定も別となるというセキュリティー範囲の単位でもあります。

ちなみにこのOrganizationですが、階層型をサポートしており、Sub Organization を複数配下に作成していくことも可能です。

Administration > Organization の順にクリックして進みます。

初めてのアクセスの際に、Confirm Add Organization のポップアップウィンドウが表示されます。

「OK」をクリックします。

「Add Organization」の設定画面のウィンドウが表示されます。

  • Name:　Organizationの名前を指定します。
  • Description:　この Organization の説明を入力します。
  • Global Organization ID:　初めての Organization の作成であれば「1」になります。通番ですので、通常は特に意識することはないです。
  • Subscription Profile:　通常は、Default-All-Service-Plan を選択しておきます。
  • Authentication Connector:　Analytics サーバーも使用する場合は、ここで Analytics Cluster の名前を指定します。

「Supported User Rules」タブをクリックします。

「Available」のところに、さまざまな役割が表示されます。

「Add All」をクリックして、全ての項目を「Selected」の方へ移動させます。

全ての項目が移動したのを確認し、「OK」をクリックします。

Organization のリストに、作成した名前が表示されれば完了です。

次回は、Controller を設定していきます。

関連する記事：

最近の記事：