4.3. F5 と Event-Driven Ansible を使用した例

AWS CloudTrail は、他の AWS サービスによって行われた API 呼び出しを含む、AWS アカウントで行われたすべての API 呼び出しをログに記録するサービスです。デフォルトでは、CloudTrail ログは暗号化されていない形式で S3 バケットに保存されます。CloudTrail ログがセキュアであることを確認するには、AWS KMS を使用して CloudTrail ログの暗号化を有効にします。CloudTrail ログが保存される S3 バケットを暗号化するために使用される KMS キーを作成して、CloudTrail ログの暗号化を有効にします。次に、このキーを使用してログを暗号化するように CloudTrail を設定します。

暗号化を有効にすると、すべての CloudTrail ログは、S3 バケットに書き込まれる際に自動的に暗号化されます。ログは、指定した KMS キーを使用してのみ復号化できます。これにより、ログがセキュアあり、許可されたユーザーとサービスのみがアクセスできることが確立されます。

AWS CloudTrail ログの暗号化は、いくつかの理由で重要です。

Event-Driven Ansible ルールブックは、ログファイルに対するアクションを支援するため、以下のコンポーネントで構成されています。

次の例では、ルールブックは次のように 3 つのルールを含むルールセットを実装します。

ルール #1: トレイルの暗号化を有効にする

このルールは、トレイルの暗号化が無効になっている場合に対応します。これは、トレイルに対して UpdateTrail 操作が実行され、UpdateTrail 要求に含まれるパラメーターが次の条件に一致するときにトリガーされます。

event.CloudTrailEvent.requestParameters.kmsKeyId=="" であり、かつ event.CloudTrailEvent.requestParameters.name==vars.cloudtrail_name. と一致する

このドリフトを軽減するために実行されるアクションは、

'playbooks/eda/aws_restore_cloudtrail_encryption.yml playbook` を実行します。この Playbook は、トレイルの暗号化を再有効化してシステムを元の状態に復元する、Ansible 検証済みロール cloud.aws_ops.enable_cloudtrail_encryption_with_kms を実行します。

ルール #2: トレイルの再作成

このルールは、トレイルが削除された場合に対応します。

以下の条件が満たされた場合:

event.CloudTrailEvent.eventName=="DeleteTrail" であり、かつ event.CloudTrailEvent.requestParameters.name==vars.cloudtrail_name と一致する

アクションとして、playbooks/eda/aws_restore_cloudtrail.yml Playbook を実行します。この Playbook は、まず Ansible 検証済みコンテンツ cloud.aws_ops.awsconfig_multiregion_cloudtrail ロールを実行してトレイルを再作成し、次に cloud.aws_ops.enable_cloudtrail_encryption_with_kms ロールを実行して、新しく作成されたトレイルの暗号化を有効にします。

ルール #3: KMS キーの削除をキャンセルし、再度有効にする

このルールは、KMS キーが削除または無効化された場合に対応します。これにより、条件は以下のようになります。

event.CloudTrailEvent.eventName=="ScheduleKeyDeletion" または event.CloudTrailEvent.eventName=="DisableKey"

誰かが意図的または偶発的に KMS キーを削除しようとすると、AWS CloudTrail に ScheduleKeyDeletion イベントが表示されます。KMS キーを削除すると破壊的になり、潜在的な危険性があるため、KMS キーはすぐには削除されません。AWS KMS では、7 - 30 日間の待機期間を設定する必要があります。この状況は、playbooks/eda/aws_restore_kms_key.yml Playbook を実行して KMS キーの削除をキャンセルすることですぐに処理されます。同様に、KMS キーが無効が無効化されると、Playbook はそれを再有効化してシステムの元の状態に復元します。Playbook は KMS キー ARN を設定し、それを使用して KMS キーの削除をキャンセルするか、KMS キーを再度有効化するか、またはその両方を行うかを決定します。

cloud.aws_ops 向けの Ansible 検証済みコンテンツと Event-Driven Ansible は、クラウドコンピューティング環境における問題の自動解決や監視のための多くの機会を創出します。これにより、自動化を容易にし、セキュリティー問題を軽減して、クラウド環境の習熟度を最大限に高めることができます。ルールブックの使用に関する詳細は、Validated content for Event-Driven ansible for AWS を参照してください。