gistfile1.md

TA-04 Enterprise Applications Deep Dive(Amazon WorkSpaces/WorkDocs/WorkMail)

AWSのエンタープライズ・アプリケーション

• 40以上のサービス

  • Enterprise Applicationsは高レイヤーのサービス

• マネージドサービスの利点

  • ユーザーの知識吸収、アプリのインストールだけで利用できる

• どこからでもアクセスできる

  • 反面、高いセキュリティは必要

• ActiveDirectoryとの統合

AWS Directory Service

• フルマネージド型のディレクトリサービス

  • AWS上のスタンドアロンのディレクトリを新規に作成
  • 既存のActive Directory認証を利用
    • AWSアプリケーションへのアクセス
    • IAMロールに寄るManagement Consoleへのアクセス

• 2つのモード

  • Simple AD
    • フルマネージドのディレクトリサービス
    • AWS上に独立したドメインを作成
  • AD Connector
    • 既存のディレクトリサービスへの接続
    • オンプレまたはVPC上のドメインを指定
    • MFA(多要素認証)をサポート

• SSOの有効化

  • WorkSpacesとWorkDocsの間でSSOを設定可能

• MFA

  • オンプレのRADIUSサーバーを利用したMFAに対応
    • ワンタイムパスワードなど
  • Google AuthenticatorのPAMとFreeRADIUSの連携もできる

• Directory Service API

  • CloudTrailとの統合

Amazon WorkSpaces

• クラウドで動作するマネージド型のデスクトップコンピューティングサービス

  • マネジメントコンソールを数回クリックするだけでデスクトップをユーザー数を問わずに展開可能

• WorkSpacesバンドル

  • カスタムイメージを作成してアプリケーションをインストール済みのカスタムバンドルを利用可能

• イメージ作成のベストプラクティス

  • Cドライブにアプリケーションをインストールするために十分な容量がある
  • OSとアプリケーションの最新の更新プログラムやパッチをすべてインストール
  • 不要なキャッシュデータをWorkSpacesから削除する
  • イメージを識別しやすくするためにイメージ名に日付、バージョンを含めて管理

• Amazon Workspaces Application Manager

  • まだTokyo regionでは使えない
  • Workspaces向けのアプリケーションのデプロイ・管理
  • カタログの作成
    • アプリケーションのアップロード
      • Required or Optional : アプリケーションのインストールを自動化
    • AWS Marketplace for Desktop Appsからのサブスクリプション
      • カテゴリからアプリケーションを選択しWorkSpacesにデプロイ
      • 月単位のサブスクリプションにも対応

• ネットワーク

  • 2つのネットワークインタフェースを持つ
    • VPC、インターネット接続用ネットワーク
    • Workspaces管理用および画面転送用ネットワーク

• クライアントからWorkSpacesへのアクセス

  • AWSのIPアドレス範囲に大阿してTCP/UDP4172をオープンする

• WorkSpacesからインターネットの接続

  • NATインスタンスもしくはPublic IPアドレスの付与が必要
    • NAT Instanceパターン
    • On-Premise Firewallパターン
    • Public IP Addressパターン

• Workspaces API

  • AWS SDK, CLI, PowerShellからWorkspacesの作成・表示・メンテナンスが実行可能
  • AWS CloudTrailによるロギングをサポート

Amazon WorkDocs

• フルマネージド型のセキュアなエンタープライズストレージ及び共有サービス

  • ユーザーの生産性を高める強力な管理制御とフィードバック機能
  • デバイスを問わずどこからでもアクセスが可能

• WebUIで直接内容を閲覧可能

• フィードバック機能

  • 共有されたドキュメントにはコメント、メッセージで相互にフィードバック可能
  • コメントが投稿されるとメールによる通知が送られる

• アクセス権の設定

  • フォルダおよびファイルのアクセス許可はロールに基づいて付与される
  • 組織外のユーザーに対する共有
    • 匿名の閲覧者ロールによってフォルダ・ファイルの共有が可能

• CloudTrailによるAPIコールの記録

  • ファイルの編集・削除などの追跡ができる

Amazon WorkMail

• limited previewな状態

• セキュリティに優れたマネージド型の企業向けEメールおよびカレンダーサービス

  • データを暗号化するための仕組みも用意
  • Outlookとの互換性あり
  • Webクライアントでもアクセスできる

• マネージド&セキュア

  • お客様自身の管理するキーでの暗号化
  • KMSによる鍵管理

まとめ