349-AWS SAP AWS 「理論・実践・一問道場」AWS CodeArtifact

type

status

date

slug

summary

理論

1. VPC エンドポイントの利用

VPC エンドポイントは、インターネット経由ではなく、プライベートな AWS ネットワーク経由でサービスにアクセスするための方法です。これにより、セキュリティを強化し、インターネット接続が不要な環境を維持できます。以下の AWS サービスで VPC エンドポイントが利用可能です:

S3: オブジェクトストレージへのアクセスをインターネットを介さずに行える。

DynamoDB: NoSQL データベースへのアクセスをインターネット経由せずに行える。

SageMaker: マシンラーニング関連のサービスにプライベートな接続が可能。

2. AWS CodeArtifact

AWS CodeArtifact は、ソフトウェア開発用のパッケージ管理サービスで、Java、Python、JavaScript などのパッケージを管理できます。CodeArtifact は、PyPi や npm などの外部パッケージリポジトリと接続でき、これにより、インターネットから隔離された環境で、公開リポジトリのパッケージを安全に使用できます。具体的には、以下の利点があります:

パッケージのプライベートリポジトリ管理: 開発チームが必要とするパッケージを AWS 内で管理でき、セキュリティリスクを減らせます。

外部接続設定: CodeArtifact では外部の公開リポジトリ（例: PyPi）と接続でき、インターネットからの隔離を維持しつつ、必要なパッケージを利用可能にします。

3. セキュアなネットワークアーキテクチャ

インターネットアクセスを制限することはセキュリティのベストプラクティスとされています。特に、以下の方法でセキュリティが強化されます:

VPC の隔離: VPC でインターネットゲートウェイや NAT ゲートウェイを使わずに、サービス間の通信をプライベートに保つ。

ネットワーク ACL とセキュリティグループ: これらを使って、必要なサービスだけが通信できるように制限します。

プライベートリンクと VPC エンドポイント: インターネットアクセスなしで外部 AWS サービスにアクセスするための方法として利用されます。

4. パッケージ管理と依存関係の管理

多くのアプリケーションは、開発や運用の中で外部の依存パッケージを利用します。これらのパッケージは、インターネット経由で取得されることが多いため、インターネットにアクセスできない環境では、パッケージの取得方法を工夫する必要があります。AWS CodeArtifact や CodeCommit などを使用することで、プライベートで安全なパッケージ管理が可能になります。

5. インターネット接続なしで外部リポジトリを利用する

インターネット接続が不要な環境でも、外部リポジトリ（例えば PyPi）を利用するために AWS 内でプライベートなリポジトリを作成し、外部リポジトリからパッケージを同期する方法が有効です。これにより、開発環境が外部と接続しなくても必要なパッケージを利用でき、セキュリティリスクを最小限に抑えられます。

結論:

インターネット接続なしで外部パッケージを利用するためには、AWS CodeArtifact のようなパッケージ管理サービスと VPC エンドポイント を活用することが重要です。この方法を使用すると、インターネット経由ではなく、AWS 内でプライベートにパッケージを利用できるため、安全かつ効率的に管理できます。

実践

略

一問道場

問題 #349

データサイエンティストのチームは、Amazon SageMaker インスタンスと SageMaker API を使用して機械学習（ML）モデルをトレーニングしています。SageMaker インスタンスはインターネットへのアクセスがない VPC に展開されています。ML モデルのトレーニングに使用するデータセットは Amazon S3 バケットに保存されています。インターフェイス VPC エンドポイントを使用して Amazon S3 と SageMaker API にアクセスしています。

データサイエンティストは、Python パッケージインデックス（PyPi）リポジトリにアクセスして、ワークフローの一部として使用する Python パッケージを更新する必要があります。ソリューションアーキテクトは、SageMaker インスタンスがインターネットから隔離されたまま、PyPi リポジトリへのアクセスを提供しなければなりません。

どの解決策がこの要件を満たすでしょうか？

A. 必要なパッケージごとに AWS CodeCommit リポジトリを作成し、PyPi リポジトリと CodeCommit リポジトリ間でコード同期を設定します。CodeCommit のために VPC エンドポイントを作成します。

B. VPC に NAT ゲートウェイを作成し、インターネットへのアクセスを許可するために VPC ルートを設定します。ネットワーク ACL を設定して、PyPi リポジトリエンドポイントへのアクセスのみを許可します。

C. VPC に NAT インスタンスを作成し、インターネットへのアクセスを許可するために VPC ルートを設定します。SageMaker ノートブックインスタンスのファイアウォールルールを設定して、PyPi リポジトリエンドポイントへのアクセスのみを許可します。

D. AWS CodeArtifact ドメインとリポジトリを作成し、CodeArtifact リポジトリに対して外部接続（public:pypi）を追加します。Python クライアントを設定して CodeArtifact リポジトリを使用するようにします。CodeArtifact のために VPC エンドポイントを作成します。

解説

この問題では、SageMaker インスタンスがインターネットアクセスなしで VPC 内で動作しており、PyPi リポジトリにアクセスする必要があるという要件です。SageMaker インスタンスがインターネットから隔離されたまま PyPi リポジトリにアクセスする方法を考える必要があります。

正解は D です。

解説：

AWS CodeArtifact は、パブリックの Python パッケージリポジトリ（PyPi）にアクセスできるプライベートなリポジトリを提供します。この方法では、PyPi リポジトリを直接インターネット経由でアクセスせず、AWS 内の CodeArtifact リポジトリを通じて PyPi のパッケージを取得できます。

外部接続（public:pypi） を設定することで、PyPi リポジトリへの接続が CodeArtifact を通じて行われ、インターネットアクセスが不要になります。

VPC エンドポイントを使うことで、インターネットを経由せずに AWS 内部での通信が可能となり、セキュリティ要件を満たしつつ、PyPi パッケージの利用ができます。

他の選択肢の解説:

A. AWS CodeCommit を使って、必要なパッケージごとにリポジトリを作成するというアプローチですが、PyPi のリポジトリ全体を同期するわけではなく、また CodeCommit はあくまでソースコード管理用のサービスです。パッケージ管理には適していません。

B. NAT ゲートウェイを使ってインターネット接続を許可する方法ですが、SageMaker インスタンスがインターネットアクセスを持つことになり、隔離された環境という要件を満たしません。

C. NAT インスタンスを使う方法も、NAT ゲートウェイと同様にインターネットアクセスを許可してしまうため、セキュリティ的な要件を満たさない可能性があります。また、ファイアウォールルールでアクセスを制限する手段は実装が煩雑になりがちです。

まとめ:

SageMaker インスタンスをインターネットから隔離したままで PyPi リポジトリを利用するために最適な方法は、D のように AWS CodeArtifact を利用することです。