AWS認定ソリューションアーキテクトアソシエイトを受けるにあたって抑えておきたいところメモ

AWS認定SAA試験(2018)を受験することにした

フロントエンドからインフラまで全体を把握しておきたいのと単に強くなりたくて受けることにした。クラウドはもうすでに流行りを超えて主流になってきているし、とっておいて損はないだろうということで。

受験を終えたら体験記を書くとして、今回はAWS SAAを受ける上で、重要そうな部分をメモしておこうと思います。網羅的なものではなくあくまで個人的に引っかかりそうな部分のみのメモです。

VPC

設定の適用範囲が違う

どちらもファイアウォールの機能を果たすが、設定する範囲が

・セキュリティグループはインスタンス単位
・NACLはサブネット単位

ステートの保持

・セキュリティグループはステートフル・NACLはステートレス

なので、セキュリティグループはインバウンドの通信を許可すると自動的にアウトバウンドも許可される。
NACLはステートレスなので、この場合はアウトバウントも個別に許可の設定が必要になる。

デフォルトの設定

・セキュリティグループはインバウンド不許可、アウトバウンドの許可(同セキュリティグループのインスタンスからのインバウンドは許可) ・NACLはすべて拒否？

NACLのルールナンバー

それぞれのルールには固有のルールナンバーがある。ナンバーの低い方のルールが優先的に評価される。

VPN接続

VPN 接続を使用して Amazon VPC をリモートネットワークに接続できる

・AWS マネージド VPN（IPsec および VPN 接続）・AWS VPN CloudHub（リモートネットワークが複数あるとき）・サードパーティー製ソフトウェア VPN アプライアンス

https://docs.aws.amazon.com/ja_jp/AmazonVPC/latest/UserGuide/vpn-connections.html

EC2

・従量課金でスケーラブルなサーバーを立てれる・同リージョン内のS3、EC2などへのデータ転送は無料

EC2とPrivate IPの固定

・EC2-Classicでは、起動時にPrivate IPが毎回変わる・EC2-VPC(現在の通常のEC2)では、固定

リージョン毎のリミット

デフォルトではリージョンでインスタンス20個のソフトリミットがある。 AWS側に申請するとリミットを解除してくれる。

On-Demand,Reserved,Spotの違い

On-Demand

需要に応じて使われる普通のEC2。便利だけどコストがかかる。

Reserved

前もって一定期間分の予約をして買うタイプのインスタンス。途中で変更したりは一応出来るが色々条件があるのでオンデマンドほど柔軟ではない。 https://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/ri-modifying.html

ちなみに途中でキャンセルすることは出来ない、ただしマーケットプレイスで売り飛ばすことができる。

Spot

余っているインスタンスを大幅値引きで使わせてもらえる。ただし、いきなり終了させられたりする場合があるのでそういったケースにも対応できる用途で使う。

AWSに終了させられた場合は最後の1時間分は切り捨てでその1時間分の費用は無料となる。

EBS-Backedとインスタンスストア

インスタンス自身にデータを保存しておくインスタンスストア型のインスタンスと、EBSというストレージに保存するEBS-Backed型のインスタンスがある。

基本的にインスタンスを停止させるとそのインスタンス内のすべてのデータは失われてしまう。なので普通はEBS-Backedを使う。

EBS

・インスタンスのデータを保存しておく・データはインスタンスが終了・停止しても保持される・一つのインスタンスにしかアタッチ出来ない、ただしEC2が複数のEBSを持つのはあり・AZ内に自動的にレプリカが作られる

EBSのタイプ

汎用 SSD (gp2)

普通のEBS。

プロビジョンド IOPS SSD (io1)

高性能なタイプ。持続的な IOPS パフォーマンス、またはボリュームあたり 10,000 IOPS または 160 MiB/秒以上のスループットを必要とする重要なアプリケーションなどに。

スループット最適化 HDD (st1)

アクセス頻度とスループットが高いワークロード用に設計された低コストの HDD ボリューム。

Cold HDD (sc1)

アクセス頻度の低いワークロード用に設計された低コストの HDD ボリューム。

https://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/EBSVolumeTypes.html

EBSのスケール、タイプ変更

現行世代のものは、停止したりすることなくボリュームサイズの増加、ボリュームタイプの変更、または (io1 ボリュームの場合) IOPS パフォーマンスの調整ができる。ちなみに最大 16 TiB のボリュームが用意されている。

https://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/ebs-modify-volume.html

EBSのスナップショット

スナップショット、要するにバックアップ的なもの。 EBSのボリュームのスナップショットを作成し、S3に保存しておくことができる。

毎回フルサイズのバックアップを取るのではなく、前回のスナップショットから変更された部分のみを保存する。スナップショットを削除すると、そのスナップショットに固有の情報だけが削除される。

EBSボリュームの暗号化

EBSボリュームは作成時に暗号化オプションを有効にすることで暗号化できる。

EBS RAID アレイのスナップショット

RAIDアレイの場合少し手順が異なる。

1.すべてのアプリケーションで RAID アレイへの書き込みを停止します。 2.すべてのキャッシュをディスクにフラッシュします。 3.ファイルシステムの凍結、RAID アレイのマウント解除、さらには EC2 インスタンスのシャットダウンなどのアクションを実行し、関連付けられている EC2 インスタンスが RAID アレイへの書き込みを停止していることを確認します。 4.RAID アレイに対するすべてのディスク関連アクティビティを停止する手順を行った後、アレイ内の各 EBS ボリュームのスナップショットを取得します。

https://aws.amazon.com/jp/premiumsupport/knowledge-center/snapshot-ebs-raid-array/

S3

ストレージサービス。ファイルをアップロードしたらURLを発行してくれる。容量上限無し。

別リージョンにコピーを自動でとってくれたり、99.999999999%の耐久性がある。

・1度にアップロード出来るのは5GBまで
・分割してアップロードする場合は5TBまで
・バージョニングと複数人による削除認証などで間違って削除してしまうのを防げる
・一定期間が過ぎたらGlacierに移すとかいうライフサイクルの設定も出来る
・Web上に公開する設定をすることで静的サイトホスティングも出来る
・データの追加で少なくとも 3,500 リクエスト/秒、データの取得で 5,500 リクエスト/秒をサポートできる
・リージョン内の少なくとも3つのAZにレプリカが作られる
・デフォルトでは暗号化はされない

サーバーサイド暗号化

・S3-Managed Keys (SSE-S3) ・AWS KMS-Managed Keys (SSE-KMS) ・Customer-Provided Keys (SSE-C)

どれかを用いて暗号化できる

クライアントサイド暗号化

・AWS KMS–Managed Customer Master Key (CMK) ・Client-Side Master Key

どちらかを用いて暗号化できる

RRS

・低冗長化バージョン・費用が下がるが耐久性も99.99%に少し下がってしまう

Infrequent

・あまり使わないデータを保存しておく。費用が少し安くなる・Glacierと違ってすぐ読み出せる・レイテンシー・スループットは通常のS3と変わらない・99.9%の可用性、99.999999999%の耐久性

アクセスコントロールの優先順位

ACL < BucketPolicy < IAM　の順に優先される。

Amazon S3 Transfer Acceleration

クライアントと S3 バケットとの間で、長距離にわたるファイル転送を高速、簡単、安全に行えるようになる。

https://docs.aws.amazon.com/ja_jp/AmazonS3/latest/dev/transfer-acceleration.html

ログの記録

バケットへのアクセスのリクエストを記録することができる。リクエスタ、バケット名、リクエスト時刻、リクエストアクション、レスポンスのステータス、エラーコードなどをの情報を保存出来る。

これらはCloudtrailでは取得出来ないより詳細な情報。

Amazon Glacier

・データストレージでS3に似ているが、こちらの方が費用が大分安い。・そのかわりにデータを読み出すのに3~4時間掛かる。・普段は使わないが消すわけにもいかないようなデータを保存しておく。・迅速取り出しオプションというのが最近出来て、お金払えば早く取り出せる

CloudWatch

カスタムメトリックについて

通常の状態でモニタリングできる項目は

・CPU使用率・EBSのディスクIO ・S3のオブジェクト総数・Network IO ・RDSのメモリ空き容量・RDSのストレージ空き容量・DynamoDBに書き込まれたユニット数

など

カスタムメトリックという拡張機能を使うことでモニタリングできる項目は以下など

・EC2のメモリ使用率・ディスクスワップの使用率、ディスクスペースの使用状況・ページファイルの使用状況・ログ収集

監視間隔について

無料では5分毎に監視が出来る。追加料金を支払うことによって1分間隔での詳細モニタリングが可能になる。

データの保存期間

・期間が 60 秒未満のデータポイントは 3 時間使用できる。・期間が 60 秒 (1 分) のデータポイントは、15 日間使用できる。・期間が 300 秒 (5 分) のデータポイントは、63 日間使用できる。・期間が 3600 秒 (1 時間) のデータポイントは、455 日 (15 か月) 間使用できる。