re:Invent2024のWorkshop「Approaches to layered security on Amazon VPC」をやってみた

新年あけましておめでとうございます。今回はre:Invent2024で公開されたWorkshop「[Approaches to layered security on Amazon VPC](https://catalog.us-east-1.prod.workshops.aws/workshops/04e6e6c8-c19b-40f9-8cc7-945669ca86b4/en-US)」が自宅からもできるということで、せっかくなので試してみました。

初めての方用に説明しておくと、AWSの[Workshop](https://workshops.aws/)は資料に沿って手を動かしてAWSサービス利用法の理解を深める内容となっています。Workshopはざっくりと決められた時間内でしか体験できないもの、いつでも体験できるものの2つに分かれます。今回は後者ですが、突然公開が終了してしまうケースがあるので注意が必要です。というわけで、Workshopは気になるものは見つけた瞬間にやりましょう！

# Workshopの内容
コンテンツ紹介ページには以下のように記載があります。


>このワークショップは所要時間約 2 時間で、Amazon VPC のセキュリティ保護に関する実践的なガイダンスを取り上げます。AWS でサービスの設計、開発、実行を担当するクラウド アーキテクト、システム管理者、ネットワーク管理者、セキュリティ管理者を対象としています。
これは 300 レベルのワークショップなので、サブネット、セキュリティグループ、VPC フローログなどの基本事項に精通していることを前提としています。（自動翻訳）

本Workshopの進め方は2パターンあります。
【パターン1】実装したい機能の記載があり、それを自力で実装
【パターン2】詳しい手順付きで[ウォークスルー形式](https://catalog.us-east-1.prod.workshops.aws/workshops/04e6e6c8-c19b-40f9-8cc7-945669ca86b4/en-US/lab-walkthroughs)の実装
前者は腕試ししたい方向け（GameDayライク）、後者は慣れていない方向けです。自分は触り慣れたサービスが多いので、前者でやってみました。Workshopの環境は[このページ](https://catalog.us-east-1.prod.workshops.aws/workshops/04e6e6c8-c19b-40f9-8cc7-945669ca86b4/en-US/lab-walkthroughs)でCloudFormationテンプレートが配布されていたので、これを自分のAWS環境に流しましょう。公式曰く**利用料は1時間当たり2ドルほどかかる**とのことです。終わったら忘れずリソースは削除しましょう。自分は今回バージニア北部(us-east-1)でスタックを作成しました。**以下、自力で全てやりたい方はネタバレ注意**です。

スタック作成が完了したらCloudWatchに下のようなダッシュボードが作成されていましたが、内容はハンズオンのページの内容そのままです。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2986198/6c2fbd83-f495-1736-e547-4690f7a21c54.png)

左のメニュー毎のお題が全部完了したら、右上のカスタムウィジェットを有効化してみましょう。した画面のように全てクリアできていれば、お題は完了です。画面は自動翻訳を適用しています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2986198/f09a1893-87ed-a32d-3736-58f1e9b97afc.png)

また、ワークショップの構成は導入タスクとA~Eまで5つのトラックがありますが、お互いのトラックは独立した内容なので、気になったものだけ手を付けることが可能です。

【導入タスク】Managing VPC access controls at scale
【トラックA】DNS Security
【トラックB】Network Analysis
【トラックC】AWS Network Firewall（IPv6）
【トラックD】3rd-party firewall using Gateway Load Balancer（GWLB）
【トラックE】Web Application Firewall

# （ネタバレ注意）【導入タスク】Managing VPC access controls at scaleの様子
せっかくなので、一番最初のタスクだけ実施している様子をお見せします。
自身の環境からWeb用ALB経由でWebサーバにアクセスできれば完了です。
最初ALBのDNS名を入力すると下のように何も表示されません。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2986198/b648d0a8-6b48-e767-6b1c-0906741c7757.png)

ALBについているセキュリティグループを見てみるとIPv4用のプレフィックスリストがあります。中身を見てみましょう。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2986198/f4e2cd8c-c233-55e5-9cd8-baafc9203b55.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2986198/8b2d9d0f-bffb-2918-e1e2-d60d934d7a4d.png)

プレフィックスリストのエントリに何も表示されていないので、自分が利用しているパブリックIPを追記します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2986198/d1ac22ca-9b6c-4d63-eec4-585264b29969.png)

再度ALBのDNS名を入力したら、無事接続されました。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2986198/f83549e6-06ba-f0e4-0295-db4833d12b31.png)

# このWorkshopの内容が気になった方へ
このように手を動かしてやるWorkshopに価値を感じた方は2023年のre:Inventで公開された「[AWS Support - Troubleshooting in the cloud with generative AI](https://catalog.us-east-1.prod.workshops.aws/workshops/fdf5673a-d606-4876-ab14-9a1d25545895/en-US)」のWorkshopもお勧めです。会社ブログの方でこちらのWorkshopを実施している様子もあるので、よろしければ併せてご覧ください。

https://www.beex-inc.com/blog/reinvent2023_sakaki_part5

短いですが本記事は以上です。ここまでお読みいただきありがとうございます。