CloudSystemテンプレート
1st Model
導入手順書
第1.1版 （ITAバージョン1.7.1版)

目次
I.

1stモデル概要
1.
2.
3.
4.

はじめに
AWSサービス関連図
ユーザー一覧
ロール一覧

II. 1stモデル導入手順
1.
2.
3.
4.
5.
6.
7.

導入準備
1stモデル導入ファイルダウンロード
1stモデル導入ファイルインポート
機器一覧のログイン情報変更
プロキシ情報の登録
API実行ユーザーのPW変更
AWS環境設定

III. システム構築・更新手順
1. はじめに
2. AWS管理者基盤
3. AWS管理者
4. インフラユーザー基盤
5. インフラ管理者
6. インフラメンバー
7. CloudFormatonロール
8. オートスケールWebシステム
9. セキュリティ付帯機能
10. WebサーバへPlaybook実行

IV. システム削除手順
1.
2.
3.
4.
5.
6.
7.
8.
9.

はじめに
セキュリティ付帯機能
オートスケールWebシステム
CloudFormationロール
インフラメンバー
インフラ管理者
インフラユーザー基盤
AWS管理者
AWS管理者基盤

V. Conductor
1. はじめに
2. Conductorクラス一覧

Ⅰ.1stモデル概要

Ⅰ.1stモデル概要 / 1. はじめに
▌CloudSystemテンプレート 1stモデルとは
 CloudSystemテンプレート(以降はCSテンプレート)シリーズの一つ。
 CSテンプレートはExastro IT Automationのパッケージの総称で、
CSテンプレートをITAに導入することで、容易にITAから各システムを自動構築をするために作成されている。
 1stモデルでは、AWSクラウド上にセキュリティ付帯機能を持ったオートスケール型Webサーバの自動構築/管理を実施する。

▌1stモデルの特徴
 オートスケールWebシステムでは踏み台サーバ、ログ取得、通知機能、モニタリング等の機能を備えている。
 さらにセキュリティ付帯機能を構築することで、AWSアカウントの変更管理(AWS Config)、セキュリティ事項の可視化(AWS SecurityHub)などが使用できる。
 構築したWebサーバに対して、Exastro ITAからAnsible Playbookを実行することでアプリケーションを管理する。
 Exastro ITAからConductor(Ⅴ.Conductor)を実行することで、必要なユーザーを自動作成/管理する。

▌AWSサービス関連図
 次スライドで「オートスケールWebシステム」「セキュリティ付帯機能」において構築するAWSの各サービスの一覧図を示す。IAMユーザー、IAMロールは記載対象外。

Exastro4Ⅰ.1stモデル概要 / 2. AWSサービス一覧図AWS Cloud
可視化

Amason S3
Logs

RegionAWS WAF[アプリ保護]AWS Config[変更管理]

可視化

AWS Security Hub

GuardDuty[統合可視化][脅威検知]

Access Logs

Flow Logs

AWS Trusted Advisor
[最適化]

Users

HTTPS

ELB

SSH

Gateway

VPC
Developer
Availability Zone1

Availability Zone2

Private subnet1

Private subnet2

CloudTrail

S3
Activity Logs

Public subnet
Notification

Auto ScalingGroup

NAT gateway
SSH

Instances

EBS

Instances

Auto Scaling

EBS

Email

SNS

Alarm

EBS
BastionInstance

Monitor

S3
Logs

CloudWatch

ClientMonitorExastro5

Ⅰ.1stモデル概要 / 3.ユーザー一覧(1/3)▌概要 1stモデルで使用するユーザー構成の例を以下に示す。
■AWS管理者・インフラユーザーは同一のAWSアカウントを使用する。
■1stモデル管理者以外のユーザーはConductorを実行することで作成する。
■複数の実行ユーザー(AWS管理者・インフラユーザー)
を追加可能

作成/管理

作成/管理

1stモデル管理者
実行ユーザー

構築/管理(IAM)

構築/管理(IAM)
AWS管理者

AWS管理者

作成/管理

インフラユーザーAWS Cloud

作成/管理

インフラユーザー

構築/管理

構築/管理

インフラ管理者

インフラ管理者

AWS Cloud

インフラ管理者

複数ユーザー

インフラメンバー

インフラメンバー(各ユーザーの権限の詳細は次スライドに記載)
Exastro6

Ⅰ.1stモデル概要 / 3.ユーザー一覧(2/3)▌初期ユーザー一覧
 1stモデルのインポート直後のユーザー(初期ユーザー)の一覧を以下に示す。

 「1stモデル管理者」は1stモデル内での管理者としての権限を持つ。
 ユーザー名、ログインIDは変更可能。
 初回ログインPWは”password”
初期ユーザー一覧

ITA
ユーザー名

想定業務

ログインID

1stモデル管理者

1st-admin

・1stモデルの初期設定
・1stモデル全般に関する設定を変更
・AWS管理者の作成

1stモデルAPIユーザー

1st-model-api

API実行のみ

Exastro7

Ⅰ.1stモデル概要 / 3.ユーザー一覧(3/3)▌ 実行ユーザー一覧
 実行ユーザーは「AWS管理者」「インフラ管理者」「インフラメンバー」を指す。
 以下のユーザーは、Conductorを実行することでITAとAWSに作成する。(参考:「Ⅴ.Conductor / 2.クラス一覧」)
 ユーザー名、ログインID、IAMユーザー名は変更可能。(「ユーザーリスト管理」の各メニューで変更)
 ITAユーザーの初回ログインPW: “password”, IAMユーザーの初回ログインPW: “Password!”
実行ユーザー一覧

ITA
ユーザー名

AWS
ログインID

想定業務

IAMユーザー名

AWS管理者

1st-aws-admin

1st-aws-admin

・AWS環境の管理
・インフラユーザーの管理
・IAMロールの管理

AWS管理者/サブ

1st-aws-admin-sub

1st-aws-admin-sub

同上インフラ管理者

1st-infra-admin

1st-infra-admin・オートスケールWebシステムの構築/管理・セキュリティ付帯機能の構築/管理・WebサーバにPlaybook実行

インフラ管理者/サブ

1st-infra-admin-sub

1st-infra-admin-sub

同上インフラメンバー

1st-infra-member

1st-infra-member・システムのモニタリング

インフラメンバー/サブ

1st-infra-member-sub

1st-infra-member-sub

同上Exastro8Ⅰ.1stモデル概要 / 4.ロール一覧▌ ロール一覧 1stモデルに初期登録されているロールの一覧を示す。

 ロール名、紐付ユーザー名は変更可能。
ロール一覧

ロール名
1stモデル管理者ロール

1stモデルAPIロール

紐付ユーザー名
1st-admin

1st-model-api

権限概要
・1stモデルの全体に関する設定変更権限
・AWS管理者作成に必要な操作権限
以下メニューの操作権限「機器一覧」「ホストグループ一覧」「ホスト紐付管理」「Webサーバ」

1st-aws-admin
1st-aws-admin-sub

・インフラユーザー作成に必要なメニューの操作権限
・Conductor実行

インフラ管理者特権ロール

1st-infra-admin

・プレイブック編集
・テンプレートファイル編集
・メニュー作成

インフラ管理者ロール

1st-infra-admin
1st-infra-admin-sub

・パラメータ管理・Conductor実行

インフラメンバーロール

1st-infra-member
1st-infra-member-sub

・各メニューの閲覧権限

AWS管理者ロール

Exastro9Ⅱ.1stモデル導入手順

Ⅱ.1stモデル導入手順 / 1.導入準備(1/2)
導入サーバの準備
ITAをインストールするサーバ(物理/仮想)を用意します。

サーバ動作要件は以下のドキュメントの [4頁 システム要件] を参照ください。
また本サーバはAWSと接続(http/https)できる環境を用意してください。
https://exastro-suite.github.io/it-automation-docs/documents_ja.html [ITA システム構成／環境構築ガイド 基本編]

ITAをインストール
・ITAバージョンは1.7.1をインストールしてください。
・インストール手順は以下ドキュメントを参照ください。
https://exastro-suite.github.io/it-automation-docs/learn_ja.html [Exastro IT Automation を導入しよう]

Exastro11Ⅱ.1stモデル導入手順 / 1.導入準備(2/2)
AWS環境の準備「1stモデル管理者」が使用するAWSアカウントを用意する。
「1stモデル管理者」として使用するIAMユーザーを準備する。
 上記のIAMユーザーにCloudFormationFullAccess, IAMFullAccess権限を付与する。
 上記IAMユーザーの「アクセスキーID」「シークレットキー」を作成して保管しておく。 (後ほどITAに登録)【参考】 IAMユーザーの認証情報の作成手順概要

Exastro

AWSマネジメントコンソールにて実施）



IAM ＞ ユーザー ＞ 「IAMユーザー準備」で用意したユーザー名を押下

認証情報 ＞ アクセスキーIDを作成を押下

アクセスキーIDとシークレットアクセスキーを取得する。

12

Ⅱ.1stモデル導入手順 / 2.1stモデルのダウンロード
 以下URLから1stモデル導入ファイルをダウンロードしてください。

URL:

https://github.com/exastro-suite/Settings-CloudSystemTemplate-1st/releases

ファイル名 : cloud-system-template-aws-ce-1.1.1-exastro-1.7.1.kym

Exastro13

Ⅱ.1stモデル導入手順 / 3.1stモデルのインポート(1/3)
 Exastro ITAに「administrator」でログインする。

 メニューグループ「エクスポート/インポート」＞ メニュー「メニューインポート」に移動する。
 「ファイルを選択」を押下する。
 1stモデル導入ファイル（ cloud-system-template-1st-model-exastro-1.7.1.kym）を選択してアップ
ロードボタンを押下する。
メニューインポート

メインメニュー

②①③④

Exastro14

Ⅱ.1stモデル導入手順 / 3.1stモデルのインポート(2/3)
 ダウンロードしたファイルをアップロードする。
 「すべてのメニュー」にチェックが入っていることを確認する。
 画面最下部の「インポート」ボタンを押下する。
メニューインポート①②③

Exastro15

Ⅱ.1stモデル導入手順 / 3.1stモデルのインポート(3/3)
 「エクスポート/インポート」＞「エクスポート/インポート管理」＞「フィルタ」を押下する。
 数分後、再度フィルタを実行し、ステータスが「完了」と表示されていることを確認する。(所要時間は環境によって異なる)
エクスポート/インポート管理

 インポートが完了した後、ユーザーID「1st-admin」パスワード「password」でログインしなおす。
(初回ログイン時はパスワード変更画面に遷移するのでパスワードを変更する。)
 ユーザー「1st-admin」で表示されるメインメニューは以下のとおり。
メインメニューExastro16

Ⅱ.1stモデル導入手順 / 4.機器一覧のログイン情報の変更
 「基本コンソール」＞「機器一覧」へ移動する。
 項目「管理システム項番」が”100001”のレコードの更新ボタンを押下する。

 ITAが導入されているサーバのログイン情報を登録する。
変更する項目:「ログインユーザーID」「ログインパスワード」「ssh鍵認証ファイル」「パスフレーズ」「認証方式」

 「更新」ボタンを押下する。
機器一覧

①

②

Exastro17

Ⅱ.1stモデル導入手順 / 5.プロキシ情報の登録
ITA導入サーバ―がAWSとの接続にプロキシサーバーを使用する環境である場合、本手順を実行してください。

▌プロキシ情報の登録
 「Ansible共通」＞「グローバル変数管理」へ移動する。
 「フィルタ」＞「グローバル変数名」が”GBL_PROXY”のレコードの更新ボタンを押下する。
 「備考」項目を参考に、「具体値」項目にプロキシサーバーの情報を入力して「更新」ボタンを押下する。
グローバル変数管理①②

Exastro18

Ⅱ.1stモデル導入手順 / 6.API実行ユーザーのPW変更(1/2)▌ユーザー管理の変更
 以下の作業は常に必須。
 「管理コンソール」>「ユーザ管理」へ移動する。
 「ログインID」が”1st-model-api”のレコードの更新ボタンを押下する。
 項目「ログインPW」に任意のパスワードを入力する。
 「更新」ボタンを押下する。
ユーザ管理

①

②

Exastro19

Ⅱ.1stモデル導入手順 / 6.API実行ユーザーのPW変更(2/2)▌グローバル変数管理の変更
 「Ansible共通」>「グローバル変数管理」へ移動する。
 「グローバル変数名」が”GBL_API_PASSWORD”のレコードの更新ボタンを押下する。
 項目「具体値」に前のスライドで登録したパスワードと同じパスワードを入力する。
 「更新」ボタンを押下する。

グローバル変数管理①②
Exastro20

Ⅱ.1stモデル導入手順 / 7.AWS環境設定
 オートスケールWebシステム構築に必要な以下の①～③の設定をAWS管理コンソールで実施する。
 ①～③の設定はオートスケールWebシステムを構築するリージョンで実施する。


取得した設定情報はExastro ITAに登録するため控えておく。

オートスケールWebシステム構築のためのAWS環境設定項目①AMI (Amazon マシンイメージ)の登録
EC2 > イメージ> AMIに使用するAMIイメージを登録し、「AMI ID」を取得する。

(参考)AMI(https://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/AMIs.html)②キーペアの作成
EC2 > ネットワーク&セキュリティ > キーペア の「キーペアを作成」からキーを作成し、「キーペアファイル（.pem）」と「キーペア名」を取得。
(参考)キーペア(https://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/ec2-key-pairs.html)③ELB用のSSL証明書の登録
Certificate Manager に証明書を登録し「ARN (Amazonリソースネーム)」を取得。
(参考)Cerrificate Manager(https://aws.amazon.com/jp/certificate-manager/)

Exastro21

Ⅲ.システム構築・更新手順

Ⅲ.システム構築・更新手順 / 1.はじめに

Ⅲ.システム構築・更新手順 / 1.はじめに(1/2)▌はじめに システムの構築と更新では同一のConductorを使用する。
 構築,更新時のパターンは以下の通り。


実行時にAWS CloudFormationに指定したスタックが存在しない場合、スタック構築を実行する。



スタックが存在して、パラメータが異なる場合、スタックの更新を実行する。

 スタックが存在して、パラメータが同一の場合、処理はスキップされる。

 スタック名は以下の形式でAWS CloudFormationへ登録される。
スタック名の形式: “<システム名>-<スタック名>”

Exastro「システム名」は「基盤管理」「共通パラメータ」に登録する。

「スタック名」は「基盤/シナリオ」、「ユーザー/シナリオ」、「システム/シナリオ」に登録する。

24

Ⅲ.システム構築・更新手順 / 1.はじめに(2/2)▌構築手順の概要
 Conductor実行順序は以下の通り。

[Conductor実行順序]①AWS管理者基盤の構築 → AWS管理者の作成②インフラユーザー基盤の構築 → インフラ管理者、インフラメンバーの作成③CloudFormationロールの構築④オートスケールWebシステムの構築⑤セキュリティ付帯機能の構築⑥WebサーバへPlaybook実行▌オペレーションについて
 初期状態のオペレーションには、「共通オペレーション」「環境-A」「環境-B」が登録されている。
 上記の構築手順と使用するオペレーションは以下の通り。
①②: 「共通オペレーション」を実行時に選択する。
③④⑤⑥: 「環境-A」「環境-B」を実行時に選択する。

 以降の手順では「共通オペレーション」「環境-A」を使用して説明する。
「環境-B」の実行手順は「環境-A」と同様。

Exastro25

Ⅲ.システム構築・更新手順 / 2.AWS管理者基盤

Ⅲ.システム構築・更新手順 / 2.AWS管理者基盤(1/8)▌共通パラメータの更新
 ITAに1stモデル管理者でログインする。
 「基盤管理」＞「共通パラメータ」へ移動する。
 「オペレーション名」が”共通オペレーション”のレコードの値を更新する。
全ての項目に値を入力し「更新」を押下する。

共通パラメータ

変更が必要:「システム名」…英数字、ハイフンで任意の値を入力「アカウントID」…数字12桁で入力任意で変更:「スタック作成リージョン」「システム環境」～「コストセンター」

Exastro27

Ⅲ.システム構築・更新手順 / 2.AWS管理者基盤(2/8)▌AWS管理者グループの更新 「基盤管理」＞「AWS管理者グループ」へ移動する。

 登録済みのパラメータの値を必要に応じて更新する。

AWS管理者グループ

Exastro28

Ⅲ.システム構築・更新手順 / 2.AWS管理者基盤(3/8)▌1stモデル管理者のAWS認証情報を取得
 AWS管理コンソールへ「1stモデル管理者」として使用するIAMユーザーでログインする。
 「IAM」>「ユーザー管理」へ移動する。
 「1stモデル管理者」として使用するIAMユーザーのアクセスキーID、シークレットアクセスキーを取得する。

▌AWS認証情報の更新
 ITAに「1stモデル管理者」でログインする。
 「AWS認証情報管理」＞「1stモデル管理者【認証】」へ移動する。
 「オペレーション名」が”共通オペレーション”の「アクセスキーID」「シークレットアクセスキー」をAWSから取得した値に更新する。
1stモデル管理者【認証】Exastro29

Ⅲ.システム構築・更新手順 / 2.AWS管理者基盤(4/8)▌MS Teams Webhookを取得
 以下の手順はTeams通知機能を使用しない場合は不要。
 以下の手順はTeamsアプリケーション内で実施する。
 通知したいチームの「コネクタ」>「Incoming Webhook」を選択する。
 通知するAPIの名前を入力して、「作成」を押下する。
Teamsアプリケーション

参考URL(受信Webhookの取得):
https://docs.microsoft.com/ja-jp/microsoftteams/platform/webhooks-andconnectors/how-to/add-incoming-webhook

Exastro30

Ⅲ.システム構築・更新手順 / 2.AWS管理者基盤(5/8)▌MS Teamsメニューの更新 以下の手順はTeams通知機能を使用しない場合は不要。
 「通知先管理」> 「MS Teams」へ移動する。
 「オペレーション名」が”共通オペレーション(1stモデル)”のレコードの更新ボタンを押下する。
 「Webhook」にTeamsで取得したWebhookを入力して更新ボタンを押下する。

①

MS Teams②

Exastro31

Ⅲ.システム構築・更新手順 / 2.AWS管理者基盤(6/8)▌Conductor実行(1/2)
 「Conductor」＞「Conductor作業実行」へ移動する。

 「Conductor[一覧]」の「AWS管理者環境基盤 / 構築・更新」を選択する。
 「オペレーション[一覧]」から「共通オペレーション」を選択する。

①②

Exastro32

Ⅲ.システム構築・更新手順 / 2.AWS管理者基盤(7/8)▌Conductor実行(2/2)
 画面下部の実行ボタンを押下する。

Teams通知機能を使用する場合はスキップを解除する。

Exastro33

Ⅲ.システム構築・更新手順 / 2.AWS管理者基盤(8/8)▌実行結果の確認
 Statusに「正常終了」が表示されていることを確認する。

▌スタックの確認
 実行環境アカウントでAWSマネジメントコンソールへログインする。
 CloudFormation スタック一覧画面へ移動する。
 一連のスタックが構築されていることを確認する。
Exastro34

Ⅲ.システム構築・更新手順 / 3.AWS管理者

Ⅲ.システム構築・更新手順 / 3.AWS管理者(1/5)▌AWS管理者リストの更新 「ユーザーリスト管理」＞「AWS管理者リスト」へ移動する。
 登録済みのITAユーザー、IAMユーザーのログイン情報を必要に応じて更新する。
AWS管理者リスト

初期状態の「初回ログインPW」は以下の通り。

ITAユーザー: ”password”
IAMユーザー: “Password!”
Exastro36

Ⅲ.システム構築・更新手順 / 3.AWS管理者(2/5)▌Conductor実行 「Conductor」＞「Conductor作業実行」へ移動する。

 「Conductor[一覧]」の「AWS管理者(ITAユーザー,IAMユーザー)の作成」を選択する。
 「オペレーション[一覧]」から「共通オペレーション」を選択する。

②①

Exastro37

Ⅲ.システム構築・更新手順 / 3.AWS管理者(3/5)▌Conductor実行(2/2)
 画面下部の実行ボタンを押下する。

Exastro38

Ⅲ.システム構築・更新手順 / 3.AWS管理者(4/5)▌実行結果の確認
 Statusに「正常終了」が表示されていることを確認する。

▌スタックの確認
 実行環境アカウントでAWSマネジメントコンソールへログインする。
 CloudFormation スタック一覧画面へ移動する。
 一連のスタック、リソースが構築されていることを確認する。
Exastro39

Ⅲ.システム構築・更新手順 / 3.AWS管理者(5/5)▌AWS管理者へログイン情報を連携
 「Ⅲ.システム構築・更新手順 / 3.AWS管理者(1/5)」で登録したログイン情報(ログインID,初回パスワード)を「AWS管理者」の利用者に連携する。

Exastro40

Ⅲ.システム構築・更新手順 / 4.インフラユーザー基盤

Ⅲ.システム構築・更新手順 / 4.インフラユーザー基盤(1/5)▌AWS管理者の認証情報を取得
 AWS管理コンソールへ「AWS管理者」として使用するIAMユーザーでログインする。
(ログイン情報は1stモデル管理者が通知。)
 「IAM」>「ユーザー管理」へ移動する。
 「AWS管理者」として使用するIAMユーザーのアクセスキーID、シークレットアクセスキーを取得する。

▌AWS認証情報の更新
 ITAに「AWS管理者」でログインする。(ログイン情報は1stモデル管理者が連携する。)
 「AWS認証情報管理」＞「AWS管理者【認証】」へ移動する。
 全てのレコードの「アクセスキーID」「シークレットアクセスキー」をAWSから取得した値に更新する。
AWS管理者【認証】Exastro42

Ⅲ.システム構築・更新手順 / 4.インフラユーザー基盤(2/5)▌インフラユーザーグループの更新 「基盤管理」＞「インフラユーザーグループ」へ移動する。

 「インフラ管理者グループ名」「インフラメンバーグループ名」の値を必要に応じて更新する。

インフラユーザーグループ

Exastro43

Ⅲ.システム構築・更新手順 / 4.インフラユーザー基盤(3/5)▌Conductor実行(1/2)
 「Conductor」＞「Conductor作業実行」へ移動する。

 「Conductor[一覧]」の「インフラユーザー基盤 / 構築・更新」を選択する。
 「オペレーション[一覧]」から「共通オペレーション」を選択する。

①

Exastro②44

Ⅲ.システム構築・更新手順 / 4.インフラユーザー基盤(4/5)▌Conductor実行(2/2)
 画面下部の実行ボタンを押下する。

Teams通知機能を使用する場合はスキップを解除する。

Exastro45

Ⅲ.システム構築・更新手順 / 4.インフラユーザー基盤(5/5)▌実行結果の確認
 Statusに「正常終了」が表示されていることを確認する。

▌スタックの確認
 実行環境アカウントでAWSマネジメントコンソールへログインする。
 CloudFormation スタック一覧画面へ移動する。
 一連のスタック、リソースが構築されていることを確認する。
Exastro46

Ⅲ.システム構築・更新手順 / 5.インフラ管理者

Ⅲ.システム構築・更新手順 / 5.インフラ管理者(1/7)▌インフラ管理者リストの更新 「ユーザーリスト管理」＞「インフラ管理者リスト」へ移動する。

 登録済みのITAユーザー、IAMユーザーのログイン情報を必要に応じて更新する。
インフラ管理者リスト

初期状態の「初回ログインPW」は以下の通り。

ITAユーザー: ”password”
IAMユーザー: “Password!”
Exastro48

Ⅲ.システム構築・更新手順 / 5.インフラ管理者(2/7)▌Conductor実行 「Conductor」＞「Conductor作業実行」へ移動する。

 「Conductor[一覧]」の「インフラ管理者(ITAユーザー,IAMユーザー)の作成」を選択する。
 「オペレーション[一覧]」から「共通オペレーション」を選択する。

②①

Exastro49

Ⅲ.システム構築・更新手順 / 5.インフラ管理者(3/7)▌Conductor実行(2/2)
 画面下部の実行ボタンを押下する。

Exastro50

Ⅲ.システム構築・更新手順 / 5.インフラ管理者(4/7)▌実行結果の確認
 Statusに「正常終了」が表示されていることを確認する。

▌スタックの確認
 実行環境アカウントでAWSマネジメントコンソールへログインする。
 CloudFormation スタック一覧画面へ移動する。
 一連のスタックが構築されていることを確認する。
Exastro51

Ⅲ.システム構築・更新手順 / 5.インフラ管理者(5/7)▌インフラ管理者の認証情報の取得
 「インフラ管理者」はIAM権限を持たないため、インフラ管理者の認証情報は「AWS管理者」がITAへ登録する。
 AWS管理コンソールへ「AWS管理者」でログインする。
 「IAM」>「ユーザー管理」へ移動する。
 「4.構築・更新手順 / 5.インフラ管理者(1/4)」で設定したユーザーの内、「紐付ロール名」に「インフラ管理者/特権ロール」を設定したユーザーのアクセスキー、シークレットキーを取得する。(初期状態では「インフラ管理者」)▌インフラ管理者 認証情報の更新
 ITAに「AWS管理者」でログインする。
 「AWS認証情報管理」＞「インフラ管理者【認証】」へ移動する。
 「アクセスキーID」「シークレットアクセスキー」をAWSから取得した値に更新する。
インフラ管理者【認証】Exastro52

Ⅲ.システム構築・更新手順 / 5.インフラ管理者(6/7)▌インフラ管理者へ「インフラ管理者特権ロール」を紐付
 作成した「インフラ管理者」のうち、プレイブック・テンプレートファイルの編集権限を持たせるユーザー(一人または複数人)に対して「インフラ管理者特権ロール」を紐づける。

[紐付手順]
 「管理コンソール」>「ロール・ユーザ紐付管理」に移動する。
 「登録」>「登録開始」ボタンを押下して、①紐づけるロール②ユーザーのログインIDを選択する。
 選択後、「登録ボタン」を押下する。
ロール・ユーザ紐付管理

①

②

③

Exastro53

Ⅲ.システム構築・更新手順 / 5.インフラ管理者(7/7)▌インフラ管理者へログイン情報を連携
 「Ⅲ.システム構築・更新手順 / 3.インフラ 管理者(1/6)」で登録したログイン情報(ログインID,初回パスワード)を「インフラ管理者」の利用者に連携する。

Exastro54

Ⅲ.システム構築・更新手順 / 6.インフラメンバー

Ⅲ.システム構築・更新手順 / 6.インフラメンバー(1/5)▌インフラメンバーリストの更新
 ITAに「AWS管理者」でログインする。
 「ユーザーリスト管理」＞「インフラメンバーリスト」へ移動する。
 登録済みのパラメータの値を必要に応じて更新する。
インフラメンバーリスト

初期状態の「初回ログインPW」は以下の通り。

ITAユーザー: ”password”
IAMユーザー: “Password!”
Exastro56

Ⅲ.システム構築・更新手順 / 6.インフラメンバー(2/5)▌Conductor実行 「Conductor」＞「Conductor作業実行」へ移動する。

 「Conductor[一覧]」の「インフラメンバー(ITAユーザー,IAMユーザー)の作成」を選択する。
 「オペレーション[一覧]」から「共通オペレーション」を選択する。

②①

Exastro57

Ⅲ.システム構築・更新手順 / 6.インフラメンバー(3/5)▌Conductor実行(2/2)
 画面下部の実行ボタンを押下する。

Exastro58

Ⅲ.システム構築・更新手順 / 6.インフラメンバー(4/5)▌実行結果の確認
 Statusに「正常終了」が表示されていることを確認する。

▌スタックの確認
 実行環境アカウントでAWSマネジメントコンソールへログインする。
 CloudFormation スタック一覧画面へ移動する。
 一連のスタック、リソースが構築されていることを確認する。
Exastro59

Ⅲ.システム構築・更新手順 / 5.インフラメンバー (5/5)▌インフラメンバーへログイン情報を連携
 「Ⅲ.システム構築・更新手順 / 6.インフラメンバー(1/5)」で登録したログイン情報(ログインID,初回パスワード)を「インフラメンバー」の利用者に連携する。

Exastro60

Ⅲ.システム構築・更新手順 / 7.CloudFormationロール

Ⅲ.システム構築・更新手順 / 7.CloudFormationロール(1/6)▌共通パラメータの更新
 ITAにAWS管理者でログインする。
 「基盤管理」＞「共通パラメータ」へ移動する。
 オペレーション名=“環境-A(1stモデル)”のレコードを更新する。
ページ下部のPOINTを参考にパラメータを入力して「更新」を押下する。
共通パラメータ

変更が必要:「システム名」…英数字、ハイフンで任意の値を入力「アカウントID」…数字12桁で入力任意で変更:「スタック作成リージョン」「システム環境」～「コストセンター」

Exastro62

Ⅲ.システム構築・更新手順 / 7.CloudFormationロール(2/6)▌MS Teams Webhookを取得
 以下の手順はTeams通知機能を使用しない場合は不要。
 以下の手順はTeamsアプリケーション内で実施する。
 通知したいチームの「コネクタ」>「Incoming Webhook」を選択する。
 通知するAPIの名前を入力して、「作成」を押下する。
Teamsアプリケーション

参考URL(受信Webhookの取得):
https://docs.microsoft.com/ja-jp/microsoftteams/platform/webhooks-andconnectors/how-to/add-incoming-webhook

Exastro63

Ⅲ.システム構築・更新手順 / 7.CloudFormationロール(3/6)▌MS Teamsメニューの更新 以下の手順はTeams通知機能を使用しない場合は不要。
 「通知先管理」> 「MS Teams」へ移動する。
 「オペレーション名」が”環境A (1stモデル)”のレコードの更新ボタンを押下する。
 「Webhook」にTeamsで取得したWebhookを入力して更新ボタンを押下する。
MS Teams①②

Exastro64

Ⅲ.システム構築・更新手順 / 7.CloudFormationロール(4/6)▌Conductor実行 「Conductor」＞「Conductor作業実行」へ移動する。

 「Conductor[一覧]」の「インフラメンバー(ITAユーザー,IAMユーザー)の作成」を選択する。
 「オペレーション[一覧]」から「環境A(1stモデル)」を選択する。

①

Exastro②65

Ⅲ.システム構築・更新手順 / 7.CloudFormationロール(5/6)▌Conductor実行(2/2)
 画面下部の実行ボタンを押下する。

Teams通知機能を使用する場合はスキップを解除する。

Exastro66

Ⅲ.システム構築・更新手順 / 7.CloudFormationロール(6/6)▌実行結果の確認
 Statusに「正常終了」が表示されていることを確認する。

▌スタックの確認
 実行環境アカウントでAWSマネジメントコンソールへログインする。
 CloudFormation スタック一覧画面へ移動する。
 一連のスタック、リソースが構築されていることを確認する。
Exastro67

Ⅲ.システム構築・更新手順 / 8.オートスケールWebシステム

Ⅲ.システム構築・更新手順 / 8.オートスケールWebシステム(1/4)▌システム管理メニューの更新
 「システム管理」内のメニューのパラメータを更新する。

メニューグループ一覧▌ システム管理/メニュー一覧
・「AutoScaleパラメータ」
・「S3パラメータ」
・「SNSパラメータ」
・「CloudTrailパラメータ」
・「Networkパラメータ」
・「SecurityGroupパラメータ」
・「Bastionパラメータ」
・「VPCflorlogsパラメータ」
・「TrustedAdvisorパラメータ」
・「CloudWatchパラメータ」
・「WAFパラメータ」
・「通知先管理」>「メールアドレス」「メールアドレス」はSNS通知を受信する場合は変更する。

・赤字のメニューは更新が必須。
「2.7 AWSの設定」で取得した値を登録する。
・「MS Teams」はTeams通知機能を使用しない場合は変更不要。
Exastro69

Ⅲ.システム構築・更新手順 / 8.オートスケールWebシステム(2/4)▌Conductor実行 「Conductor」＞「Conductor作業実行」へ移動する。

 「Conductor[一覧]」の「オートスケールWebシステム / 構築・更新」を選択する。
 「オペレーション[一覧]」から「環境A(1stモデル)」を選択する。

②①

Exastro70

Ⅲ.システム構築・更新手順 / 8.オートスケールWebシステム(3/4)▌Conductor実行(2/2)
 画面下部の実行ボタンを押下する。

Teams通知機能を使用する場合はスキップを解除する。

Exastro71

Ⅲ.システム構築・更新手順 / 8.オートスケールWebシステム(4/4)▌実行結果の確認
 Statusに「正常終了」が表示されていることを確認する。

▌スタックの確認
 実行環境アカウントでAWSマネジメントコンソールへログインする。
 CloudFormation スタック一覧画面へ移動する。
 一連のスタック、リソースが構築されていることを確認する。
Exastro72

Ⅲ.システム構築・更新手順 / 9.セキュリティ付帯機能

Ⅲ.システム構築・更新手順 / 9.セキュリティ付帯機能(1/4)▌システム管理メニューの更新
 「システム管理」内のメニューのパラメータを必要に応じて更新する。

メニューグループ一覧▌ システム管理/メニュー一覧
・「SecurityHubパラメータ」
・「Configパラメータ」
・「GuardDutyパラメータ」

Exastro74

Ⅲ.システム構築・更新手順 / 9.セキュリティ付帯機能(2/4)▌Conductor実行(1/2)
 「Conductor」＞「Conductor作業実行」へ移動する。

 「Conductor[一覧]」の「セキュリティ付帯機能 / 構築・更新」を選択する。
 「オペレーション[一覧]」から「環境A(1stモデル)」を選択する。

②①

Exastro75

Ⅲ.システム構築・更新手順 / 9.セキュリティ付帯機能(3/4)▌Conductor実行(2/2)
 画面下部の実行ボタンを押下する。

Teams通知機能を使用する場合はスキップを解除する。

Exastro76

Ⅲ.システム構築・更新手順 / 9.セキュリティ付帯機能(4/4)▌実行結果の確認
 Statusに「正常終了」が表示されていることを確認する。

▌スタックの確認
 実行環境アカウントでAWSマネジメントコンソールへログインする。
 CloudFormation スタック一覧画面へ移動する。
 一連のスタック、リソースが構築されていることを確認する。
Exastro77

Ⅲ.システム構築・更新手順 / 10.WebサーバへPlaybook実行

Ⅲ.システム構築・更新手順 / 10.WebサーバへPlaybook実行(1/5)▌ファイル管理のキーペアを変更
 AWS管理コンソールで「踏み台サーバ」「Webサーバ」で使用するキーペア(.pem)を作成してダウンロードしておく。
 「インフラ管理者」でExastro ITAへログインする。
 「Ansible共通」>「ファイル管理」へ移動する。
 「CPF_KEY_PAIR_BASTION」「CPF_KEY_PAIR_WEB」に
AWSからダウンロードした「踏み台サーバ」「Webサーバ」のキーペアファイルを登録する。

ファイル管理Exastro79

Ⅲ.システム構築・更新手順 / 10.WebサーバへPlaybook実行(2/5)▌ファイル管理の画像ファイルを変更
 「Ansible共通」>「ファイル管理」へ移動する。
 「CPF_IMAGE_FILE」の画像ファイルを任意の画像ファイル(.png, .jpg)に変更する。(そのままでも可)

ファイル管理Exastro80

Ⅲ.システム構築・更新手順 / 10.WebサーバへPlaybook実行(3/5)▌Conductor実行(1/3)
 「Conductor」＞「Conductor作業実行」へ移動する。

 「Conductor[一覧]」の「オートスケールWebサーバへPlaybook実行」を選択する。
 「オペレーション[一覧]」から「環境A(1stモデル)」を選択する。

②①

Exastro81

Ⅲ.システム構築・更新手順 / 10.WebサーバへPlaybook実行(4/5)▌Conductor実行(2/3)
 画面下部の実行ボタンを押下する。

Exastro82

Ⅲ.システム構築・更新手順 / 10.WebサーバへPlaybook実行(5/5)▌Conductor実行(3/3)
 Statusに「正常終了」が表示されていることを確認する。

▌ 結果の確認 AWS管理コンソールでELBのDNS名を確認する。
(Teams通知機能を有効にしている場合は、オートスケールWebシステム構築完了時に、DNS名が通知される)
 ブラウザでELB DNS名にアクセスする。
 「Ⅲ.システム構築・更新手順 / 10.WebサーバへPlaybook実行(2/5)」で登録した
画像ファイルが表示されていることを確認する
Exastro83

Ⅳ.システム削除手順

Ⅳ.システム削除手順 / 1.はじめに

Ⅳ.システム削除手順 / 1.はじめに▌はじめに
 本章では構築したスタックをConductorから削除する手順を示す。
 構築/更新と異なり削除の際はパラメータの変更は不要。
実行するConductorクラスを削除用を選択することでシステムまたは環境の削除が可能。

▌削除時の留意点
 構築/更新を実行した際の「AWSアカウントID」「システム名」などのパラメータを変更していないこと。
(例)構築/更新時のプロジェクトコードと削除時のプロジェクトコードが異なると、存在していないスタックに対して削除が実行されるため。その場合はどのスタックも削除されない。

 スタック削除保護を有効にしている場合は、Conductorからの削除は不可。

 ELBなどのAWSリソースに対して削除保護を有効にしている場合は、Conductorからの削除は不可。

▌実行順序
 構築した順序と逆の順序で削除を実行する。
 削除順序は以下の通り。
セキュリティ付帯機能→オートスケールWebシステム→インフラメンバー・インフラ管理者→インフラユーザー基盤→AWS管理者→AWS管理者基盤

Exastro86

Ⅳ.システム削除手順 / 2.セキュリティ付帯機能▌削除手順
 インフラ管理者でログインする。
 Conductor > Conductor作業実行へ移動する。
 Conductor「セキュリティ付帯機能 / 削除」
オペレーション「環境A(1stモデル)」を選択し、Conductorを実行する。
 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。

 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。
Exastro87

Ⅳ.システム削除手順 / 3.オートスケールWebシステム▌削除手順
 インフラ管理者でログインする。
 Conductor > Conductor作業実行へ移動する。
 Conductor「オートスケールWebシステム / 削除」
オペレーション「環境A(1stモデル)」を選択し、Conductorを実行する。
 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。

 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。
Exastro88

Ⅳ.システム削除手順 / 4.CloudFormationロール▌削除手順
 AWS管理者でログインする。
 Conductor > Conductor作業実行へ移動する。
 Conductor「CloudFormationロール / 削除」
オペレーション「環境A(1stモデル)」を選択し、Conductorを実行する。
 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。

 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。
Exastro89

Ⅳ.システム削除手順 / 5.インフラメンバー▌削除手順
 AWS管理者でログインする。
 Conductor > Conductor作業実行へ移動する。
 Conductor「インフラメンバー(ITAユーザー,IAMユーザー)の削除」
オペレーション「共通オペレーション」を選択し、Conductorを実行する。
 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。

 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。
Exastro90

Ⅳ.システム削除手順 / 6.インフラ管理者▌削除手順
 AWS管理者でログインする。
 Conductor > Conductor作業実行へ移動する。
 Conductor「インフラ管理者(ITAユーザー,IAMユーザー)の削除」
オペレーション「共通オペレーション」を選択し、Conductorを実行する。
 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。

 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。
Exastro91

Ⅳ.システム削除手順 / 7.インフラユーザー基盤▌削除手順
 AWS管理者でログインする。
 Conductor > Conductor作業実行へ移動する。
 Conductor「インフラユーザー基盤 / 削除」
オペレーション「共通オペレーション」を選択し、Conductorを実行する。
 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。

 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。
Exastro92

Ⅳ.システム削除手順 / 8.AWS管理者▌削除手順
 AWS管理者でログインする。
 Conductor > Conductor作業実行へ移動する。
 Conductor「AWS管理者(ITAユーザー,IAMユーザー)の削除」
オペレーション「共通オペレーション」を選択し、Conductorを実行する。
 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。

 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。
Exastro93

Ⅳ.システム削除手順 / 9.AWS管理者基盤▌削除手順
 AWS管理者でログインする。
 Conductor > Conductor作業実行へ移動する。
 Conductor「AWS管理者基盤 / 削除」
オペレーション「共通オペレーション」を選択して、Conductorを実行する。
 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。

 Conductor正常終了後、AWS管理コンソールでスタックが削除されたことを確認する。
Exastro94

Ⅴ.Conductor

Ⅴ.Conductor / 1.はじめに▌はじめに
 この章ではConductorの「名称」「実行順序」「実行ユーザー」「参照メニュー」の一覧を記載する。

 オペレーションを新規登録した際は、次スライドの「Conductor一覧」の「参照メニュー」に記載されているメニューに対してパラメータを登録する。

▌オペレーションを新規登録してConductorを実行する手順
 「オペレーション一覧」メニューでオペレーションを新規登録する。
 Conductor実行時に必要なパラメータを登録するため、スライド「 2.クラス一覧」の実行したConductorの 「参照メニュー」に注目する。
 「参照メニュー」記載されているメニューに対して、新規追加したオペレーションを使用してパラメータを登録する。
 パラメータ登録後、Conductorを実行する。
Conductor実行時に、オペレーション選択欄で新規追加したオペレーションを選択してConductorを実行する。

Exastro96

Ⅴ.Conductor / 2.クラス一覧(1/4)▌ 構築・更新用Conductorクラス一覧①
ID

Conductor名称【凡例】「メニューグループ名」>「メニュー名」

実行順序

実行ユーザー名

参照メニュー

100,001

AWS管理者基盤 / 構築・更新

1

1stモデル管理者

・「基盤/シナリオ」>「AWS管理者基盤シナリオ」
・「基盤管理」>「AWS管理者・基盤」
・「基盤管理」>「共通パラメータ」
・「通知先管理」>「MS Teams」
・「AWS認証情報管理」>「1stモデル管理者」

100,002

AWS管理者(ITAユーザー,IAMユーザー)/ 構築

2

1stモデル管理者

・「ユーザー/シナリオ」>「AWS管理者シナリオ」
・「ユーザーリスト管理」>「AWS管理者リスト」
・「AWS認証情報管理」>「1st管理者」

100,003

100,008

100,009

Exastro

インフラユーザー基盤 / 構築・更新

3

AWS管理者

・「基盤/シナリオ」>「インフラユーザ基盤シナリオ」
・「基盤管理」>「インフラユーザー・基盤」
・「基盤管理」>「共通パラメータ」
・「通知先管理」>「MS Teams」
・「AWS認証情報管理」>「AWS管理者」

インフラ管理者(ITAユーザー,IAMユーザー) / 構築

4

AWS管理者

・「ユーザー/シナリオ」>「インフラ管理者シナリオ」
・「ユーザーリスト管理」>「インフラ管理者リスト」
・「AWS認証情報管理」>「AWS管理者」

インフラメンバー(ITAユーザー,IAMユーザー) / 構築

5

AWS管理者

・「ユーザー/シナリオ」>「インフラメンバーシナリオ」
・「ユーザーリスト管理」>「インフラメンバーリスト」
・「AWS認証情報管理」>「AWS管理者」

97

Ⅲ.Conductor / 2.クラス一覧(2/4)▌ 構築・更新用Conductorクラス一覧②
ID

100,003

100,004

100,005

100,006

ExastroConductor名称

CloudFormationロール / 構築・更新

オートスケールWebシステム / 構築・更新

セキュリティ付帯機能 / 構築・更新

WebサーバへPlaybook実行【凡例】「メニューグループ名」>「メニュー名」

実行順序

6

7

8

9

実行ユーザー名

参照メニュー

AWS管理者

・「基盤管理」>「共通パラメータ」
・「システム/シナリオ」>「CloudFormationロール」
・「通知先管理」>「MS Teams」
・「AWS認証情報管理」>「AWS管理者」

インフラ管理者

・「基盤管理」>「共通パラメータ」
・「システム/シナリオ」>「オートスケールWebシステム」
・「システム管理」>「AutoScaleパラメータ」
・「システム管理」>「S3パラメータ」
・「システム管理」>「SNSパラメータ」
・「システム管理」>「CloudTrailパラメータ」
・「システム管理」>「Networkパラメータ」
・「システム管理」>「SecurityGroupパラメータ」
・「システム管理」>「Bastionパラメータ」
・「システム管理」>「VPCflorlogsパラメータ」
・「システム管理」>「TrustedAdvisorパラメータ」
・「システム管理」>「CloudWatchパラメータ」
・「システム管理」>「WAFパラメータ」
・「通知先管理」>「メールアドレス」
・「通知先管理」>「MS Teams」
・「AWS認証情報管理」>「インフラ管理者」

インフラ管理者

・「基盤管理」>「共通パラメータ」
・「システム/シナリオ」>「セキュリティ付帯機能」
・「システム管理」>「SecurityHubパラメータ」
・「システム管理」>「Configパラメータ」
・「システム管理」>「GuardDutyパラメータ」
・「通知先管理」>「メールアドレス」
・「通知先管理」>「MS Teams」
・「AWS認証情報管理」>「インフラ管理者」

インフラ管理者

・「基盤管理」>「共通パラメータ」
・「システム管理」>「AutoScaleパラメータ」
・「システム管理」>「Bastionパラメータ」
・「代入値管理」>「Webサーバ」(自動登録)98

Ⅴ.Conductor / 2.クラス一覧(3/4)▌ 削除用Conductorクラス一覧①
ID

Conductor名称【凡例】「メニューグループ名」>「メニュー名」

実行順序

実行ユーザー名

参照メニュー

100,010

AWS管理者基盤 / 削除

8

1stモデル管理者

・「基盤/シナリオ」>「AWS管理者基盤シナリオ」
・「基盤管理」>「共通パラメータ」
・「通知先管理」>「MS Teams」
・「AWS認証情報管理」>「1stモデル管理者」

100,015

AWS管理者(ITAユーザー,IAMユーザー)/ 削除

7

1stモデル管理者

・「ユーザー/シナリオ」>「AWS管理者シナリオ」
・「ユーザーリスト管理」>「AWS管理者リスト」
・「AWS認証情報管理」>「1st管理者」

100,011

インフラユーザー基盤 / 削除

6

AWS管理者

・「基盤/シナリオ」>「インフラユーザ基盤シナリオ」
・「基盤管理」>「共通パラメータ」
・「通知先管理」>「MS Teams」
・「AWS認証情報管理」>「AWS管理者」

100,016

インフラ管理者(ITAユーザー,IAMユーザー) / 削除

5

AWS管理者

・「ユーザー/シナリオ」>「インフラ管理者シナリオ」
・「ユーザーリスト管理」>「インフラ管理者リスト」
・「AWS認証情報管理」>「AWS管理者」

AWS管理者

・「ユーザー/シナリオ」>「インフラメンバーシナリオ」
・「ユーザーリスト管理」>「インフラメンバーリスト」
・「AWS認証情報管理」>「AWS管理者」

100,017

Exastro

インフラメンバー(ITAユーザー,IAMユーザー) / 削除

499

Ⅴ.Conductor / 2.クラス一覧(4/4)▌ 削除用Conductorクラス一覧②
ID

100,012

100,013100,014

ExastroConductor名称

CloudFormationロール / 削除

オートスケールWebシステム / 削除

セキュリティ付帯機能 / 削除【凡例】「メニューグループ名」>「メニュー名」

実行順序

3

2

1

実行ユーザー名

参照メニュー

AWS管理者

・「基盤管理」>「共通パラメータ」
・「システム/シナリオ」>「CloudFormationロール」
・「通知先管理」>「MS Teams」
・「AWS認証情報管理」>「AWS管理者」

インフラ管理者

・「基盤管理」>「共通パラメータ」
・「システム/シナリオ」>「オートスケールWebシステム」
・「通知先管理」>「MS Teams」
・「AWS認証情報管理」>「インフラ管理者」

インフラ管理者

・「基盤管理」>「共通パラメータ」
・「システム/シナリオ」>「セキュリティ付帯機能」
・「通知先管理」>「MS Teams」
・「AWS認証情報管理」>「インフラ管理者」

100