AWSが考えるハイブリッドクラウド～オンプレからのスムーズな移行の選択肢～

アマゾンウェブサービスジャパン
パブリックセクター 豊原啓治

2018/3/9© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

アジェンダ• スムーズな移行への準備• AWS基本• SINETネットワークを活用したクラウド基盤構築• 移行の選択肢•

VMware Cloud on AWSへ移行© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

アマゾン ウェブ サービス（AWS）
アマゾン の DNAを持ったクラウドサービス© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

Amazon のビジネス課題を克服するために生まれた API ベースのクラウドAPI
徹底した自動化© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

AmazonとAWSのビジネス2006年にビジネススタート

1,360（億ドル）

2015年 Q1よりビジネス規模を公表
1,070

2017年Q3 45億ドル 昨年度比42%増加

889
744

611
481

107

AWS
誕生

148

192

245

342

122億ドル2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016

© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

運用コストを下げてお客様に還元
継続的なコストダウンを達成

規模の拡大とイノベーション
資本投資
より多くの顧客獲得

値下げ

技術
投資
効率改善

90%がお客様のフィードバックに基づき2017年は1,430の機能拡張・改善を実施

過去11年間で© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

63回以上の値下げを実施

AWS 上に展開される Amazon のイノベーション© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

AWSを理解する

オンプレのシステムを移行するのに知っておくべきAWSの基本サービス© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

100を超えるサービス
ネットワーク・配信

コンピュートEC2EC2 Container
LightsailService

Elastic
Beanstalk

Lambdaストレージ & 配信
S3

EFS

Glacier

Batch

Elastic Load
Balancing

VPC

SnowballRDS

DynamoDB ElastiCache RedShift

管理ツール
CloudWatch

ConfigOpsWorks

生産性
WorkDocs

Service
Catalog

TrustedAdvisorManagedService

メッセージング

開発ツール
Code
Build

AthenaApplication
Discovery
Service

DMS

SMS

EMR

Elasticsearch
CloudSearchServiceIOT
IoT

KinesisData
Pipeline

QuickSight

Polly

Rekognition

AI
Greengrass

Lex_Machine
Learning

セキュリティ

CloudCloudTrail
Formation

CodeCommit

Route 53

マイグレーション

データベースStorage
Gateway

アナリティクス

DirectCloudFront
Connect

CodeDeploy

CodePipeline

X-Ray

SQS

SNS

デスクトップ

WorkMail WorkSpaces AppStream© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

IAM

Inspector

ゲーム

Certificate
Manager

Directory
Service

アプリケーションサービス
SES

Step
Functions

SWF

API
Elastic
Gateway Transcoder

WAF

ShieldArtifact

CloudHSM

KMS

SNS

Pinpoint

GameLift

モバイルサービス
CognitoDeviceFarm

MobileAnalytics

MobileHub米国ワシントン州警察
犯罪者の顔認識と徘徊中の方々の探索••••

指名手配犯の顔を効率的に探索
従来，PDF を各機関に配布し，みたことがある警官がメールで返信手間がかかり，捜索精度が低かったRekognition を使って他機関と連携し，効率的に探す仕組みを構築

https://www.slideshare.net/AmazonWebServices/the-unusual-suspect-howwashington-county-sheriffs-office-is-using-amazon-ai-to-identify-persons-ofinterest-for-law-enforcement-mcl204-reinvent-2017© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

AWSのグローバル インフラストラクチャ
リージョン

アベイラビリティゾーン（AZ）
リージョン• サービスを提供するデータセンタの地域や国• リージョンは２つ以上のAZから構成

 各リージョンは完全に独立
 日本では東京に加えて大阪リージョンを開始
 リージョン間の通信はインターネット経由（大阪ローカルリージョンへはAmazonバックボーン）

 災害などの影響を受けないように地理的に独立
 AZは最低１ヶ所以上のデータセンタで構成 データセンタの電源やネットワークは独立
 AZ間は低遅延の高速専用線で接続© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

キホンのおさらい：EC2とRDS

EC2• AWSの世界の「仮想マシン」
 安価に使えるモデルから、GPU搭載、基幹システムまで構成できる多様なインスタンス
 スケールアウト, スケールアップが可能 Widows 2003～2016、各種Linux、ML インスタンス切り替え（HW移行完了）© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

RDS• データベースのマネージドサービス
 MySQL、Postgres、MariaDB、SQL ServerやOracleをDBをAWSでホスティング 人気のAurora 、DynamoDB（NoSQL)
 データベースインフラ運用からお客様を開放
 DMSを利用し既存VMからRDSへの移行も可能ご存知ですか？：意外と知られていないAuto Recovery

AWSにはAuto Recoveryがあります！
• vmware HAやHyper-V WSFCに相当する機能• 障害インスタンスはAZ内の他のホストで再開（復元）• 無償で利用可能• AWSインフラのステータスチェック※に失敗したものが対象。OSやアプリの障害は対象外※ インスタンス（仮想マシン）の健全性チェック© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

ご存知ですか？：意外と知られていないSecurity Group
インスタンス単位で制御できる組込みファイアウォール機能です。
標準AWS Shield(DDOS緩和）AWS WAF・CF・ELB
NACL
UTM(3 rd party)

セキュリティ
グループ© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

ポート 80(HTTP)
EC2RDS

ポート 22(SSH)•APIログの記録(Cloud Trail)•脆弱性診断(Inspector)•パッチ管理(Patch Manager)•健全性診断(TrustedAdvisor)•機械学習（GuardDuty）••

DDOSレスポンスチーム
脅威ダッシュボード

•ISO等世界中の外部認証

キホンのおさらい：EBSとAmazon S3

EBS

S3

• 仮想マシンに接続できるブロックストレージ• 汎用的に使えるオブジェクトストレージ

 通常SSDおよびIOPS保証型SSDも提供
システム要件に沿った設計が可能
 オンラインでサイズ拡張や種類の変更が可能
 スナップショットの取得も可能（S3に保存）

 多彩な目的（非構造データ、バックアップ,アーカイブ）さらに災害対策）に利用できる 安価＋99.999999999%の耐性を持つ
 容量無制限、スケールアウト© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

キホンのおさらい：VPCとオンプレ接続• AWSに構成する仮想ネットワーク• オンプレミスとAWSを安全に接続

 他のお客様との境界, 用途別の境界として お客様データセンタと AWS を安全に接続するためのネットワーク

 インスタンス（仮想マシン）は VPC 内にサブネットを構成して展開 DHCPも固定IPにも対応© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

 最初は VPN で初めて, 台数が増えたら専用線などのステップアップも可能

AWS でもオンプレと同じように構成できる
VPC CIDR: 10.1.0.0 /16

インターネット ゲートウェイ

VPC

VPC からインターネットに接続する
場合に設定するゲートウェイ

EC2

仮想ネットワークとして最初に定義する「箱」。 VPC の中で作成するネットワーク CIDR を定義する。

NATゲートウェイ
プライベートサブネットにある EC2インスタンスがインターネットにアクセスするためのゲートウェイ。

パブリックサブネット

プライベートサブネット

アベイラビリティーゾーン A© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

リージョン内の異なるデータセンタでのシステムの冗長化や障害に対応。AZ間は高速ネットワークで接続。

サブネット

DirectConnect / VPN ゲートウェイ
VPC 単位でオンプレ環境との接続に利用。DirectConnectは閉域網などによる低遅延のネットワークを構成することができます。

アベイラビリティゾーン（AZ）

EC2
プライベート サブネット

アベイラビリティーゾーン B

各アベイラビリティゾーンの中に構成するネットワーク。
インターネットに接続できる「パブリック」と「プライベート」などで使い分けたり、用途毎に作成が可能。

AWS でオンプレ同等の運用サービス, 機能を提供

Cloudwatch

CloudTrail

Systems Manager• 性能監視や証跡を一元管理• パッチ管理やイメージへのパッチ適用を自動化

 ほぼすべてのAWSサービスの監視が可能
 EC2やRDSでは性能監視、性能のログ蓄積
 オンプレの運用監視製品との連携可能
 操作履歴をS3に保存することもできる

 展開しているWindowsサーバーへの定期的なパッチ適用のベースライン設定
 テンプレートOS（AMI）にも適用できる
 パッチ運用の自動化も可能
 他、複数の機能を提供© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

オンプレから AWS に移行するサービスも充実

VM Import / Export• 手軽にできるコマンド型移行

Server Migration Service

Database Migration Service

Server Migration Service

Database Migration Service• 仮想基盤と連携する移行ツール • DBだって移行できる！

 既存の仮想マシンイメージをAWSで利用できるようにする
 開発・検証機など一定時間停止が許容されるものに利用
 差分移行はできない© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

 VMware vCenterと連携
 本番機含めて段階移行する場合に利用
 差分移行も可能 仮想・物理、他社クラウド
 エージェント導入による常時同期型のサービス ダウンタイムも最小化ここまでのまとめオンプレと同じように使える移行もカンタン！

• AWSもオンプレと同じように使える！

• SMSを使えば, ほぼあとはお任せ コスト重視～性能重視まで豊富なインスタンス選択肢を提供
 自動バックアップ（EC2 Snapshot Scheduler）
 性能監視（Cloudwatch）
 パッチ管理（Systems Manager）
 固定IP（VPC）

 一回作ればあとは移行するだけ
 リハーサルもできる
 SMSは「超」低コスト移行できる© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

• P2Vのような苦労はほとんどなし
 ドライバなどは自動インストール
 デバイスドライバの違いもなし

学術機関向け

スムーズな移行への準備© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

AWSはSINET5と接続しています
IX
peering

特に申請なく利用

A機関

・・・・・

SINET5

専用線

AWS

SINETへ商用クラウド利用申請
Z機関© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

• 学認クラウドチェックリストver3.0をご確認• https://www.sinet.ad.jp/connect_service/service/cloud_connectionAWSなら、安価にクラウドとの閉域接続が完了•IX
peeringGlobal Data Egress
Waiverプログラムの検討

A機関・・・・・

Z機関© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

SINET5

専用線AWS• AWS DirectConnectのデータ転送料金• 東京リージョン• データイン：無料• データアウト：0.042 USD/GB• 専用線＋ポート料金（2.142 USD/時間）は弊社負担• VPN費用より安価ですSINETとの接続形態
SINETデータセンター
SINET

End user

Equinix TY2

VPC（ZoneA)AWSラックラック

回線終端装置

VLAN
VLAN
VLAN

S3などの
Publicサービス

R

R
VPC（ZoneB)

SINET
ルータ

BGP
ルータ
SINETノードのパッチパネルが責任
SINETまたは分界点であり、その先の経路はエンドユーザー様の責任範囲
AWSの責任範囲です© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

AWSの責任範囲
Public向け
VLAN学術機関向けシェアードエコノミー
Connectionを保持している弊社アカウントより、SINETクラウド接続サービスのユーザー様にVirtualInterfaceを提供します。
A大学様

Virtual Interface

VLAN100

B大学様
VLAN200

Connection

C大学様
VLAN300© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

A大学様のVPCAWSID:123456789012
B大学様のVPCAWSID:000000000000
C大学様のVPCAWSID:999999999999

SINETクラウド接続サービスによるセキュアな構成
AWS内にプライベートなネットワーク空間を作成
AmazonEC2
SINET
クラウド接続サービス

AmazonEC2

公開用サーバーハードウェア専有も可能

内部向けサーバー

既存環境© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

東京リージョン

AmazonEC2

AmazonEC2

AmazonRDS

AmazonRDS

データセンターA

データセンターB

冗長化のご検討をお願いします
Active
UTM
FW

コアス
イッチ

LP=200AS-PATH 最短
BGP
ルータ

AWS内にプライベートなネットワーク空間を作成
AmazonEC2

SINET経由
DX接続

AmazonEC2

公開用サーバー
ハードウェア専有も可能
内部向けサーバー

コアス
イッチ

BGP
ルータ

VPN

Standby
LP=100AP-PATH 二番目

VRRP/HSRPなどでLAN上のゲートウェ
イを冗長

既存環境

コアスイッチはOSPFによりAWSへの経路を選択© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

東京リージョン

AmazonEC2

AmazonEC2

AmazonRDS

AmazonRDS

データセンターA

データセンターB学内～VPC～S3へプライベートネットワーク
１）VPC(バーチャルプライベートクラウド）とオンプレミスネットワークを専用線(Direct Connect)あるいはIP-VPNで接続します。
２）アベイラビリティゾーン(AZ)にシステムを分散できるよう２つのAZにサブネットを作成しシステムを配置します。
３）サブネットにインターネットゲートウェイをアタッチしなければインターネットにはルーティングされません。
４）マネージドサービス（S3ストレージ等）へはプライベートエンドポイントを活用し閉域接続します。

10.1.0.0/16（例）※自由に設計可能

10.1.1.0/24

10.1.3.0/24

S3

3
UI

SINET
専用線

DB

DWH

ML

AZ1
外部LoadBalancer1
10.1.2.0/24
VPN
UI

2 高速光ファイバーネッ
トワーク

内部LoadBalancer
endpoints

4

10.1.4.0/24
DB

DWH

MLAZ2

© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

IT部門で専用線接続サービスを集約

アカウントA

BGP
VLAN100
人事

SINET

人事向けシステム

今まで
BGP

VLAN200
研究室A

SINET

研究室A

アカウントB

キャンパス

アカウントCBGP
VLAN100
人事

AWS向け
VLAN300

VLAN200
研究室A© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

SINET

DirectConnect
Gateway

人事向け
システム

これから
NACL
制御 情報センターが監理。

研究室A

１つのAWSアカウント
利用してIAM（権限）を活用

共通基盤で専用線接続サービスを集約
Direct Connect Gateway を活用しAWSクラウド向けネットワーク集約を（従来は1システムや研究室単位でDirect Connectの設定が必要でしたがDXGWリリースにより改善）
キャンパス

DX
GW

BGP
VLAN100
人事

VLAN200
研究室A

AWS向け
VLAN300

SINE
T• IT部門がAWSクラウド向け
BGP設定してしまえば、後続の依頼は追加設定無く拡張が可能。
• 管理面では、ガバナンスと一括請求及びディスカウント機会向上のメリットがある• ユーザとしては請求処理やBGP設定の学内交渉が楽になる© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

ポイント：
人事向けシステム

・IT部門による見える化の実現（各部門、研究室NACLの把握）
制御

研究室A情報センターが監理。
１つのAWSアカウント利用してIAM（権限）を活用

・Billingの集約・マルチVPCへの接続（柔軟対応、AWSへ追加設定依頼不要、BGP追加変更不要）

AWSクラウド共通基盤利用化の検討ポイント
ステップ１

ステップ２

ステップ３

• 組織形態にあったアカウン
ト利用

•認証認可

• AWSのサービスを検討• 開発と本番•サービス単位、リソース単位• 従来を踏襲• 情シス部門主導でSINETとAWS接続の設計•開発と運用の分離© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

• 一元化（将来）問い合わせ窓口

SINET@amazon.com© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

AWSが考える公共機関のクラウド適用モデル•

幅広い利用に向けた展開•スキルと習慣•調達
セキュリティとコンプライアンス
政策© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

定義

学認クラウ
ド導入支援
（チェックリスト）
広大ガイド
ライン
先行事例

クラウドの理解、技術的な学習のご支援
1・セキュリティ回答
・仕様書支援・技術支援・ベストプラクティスを元にした診断３© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

２

次回
4/20@目黒アジェンダ• スムーズな移行への準備• AWS基本• SINETネットワークを活用したクラウド基盤構築• 移行の選択肢•

VMware Cloud on AWSへ移行© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

改めて、クラウド利用が進む理由
初期投資が不要

実際の使用分のみ支払い継続的な値下げ

セルフサービスなインフラ

スケールアウト/イン・アップ/ダウンが容易

お客様のビジネス
スピードを改善© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

クラウド化で生ずるハイブリッドアーキテクチャ

オンプレミスでワークロードを稼働

クラウド上でワークロードを稼働© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

クラウド間の緊密な連携

ハードウェアのリプレースを回避（基盤アップ
デートの費用と工数）

ハイブリッド運用への移行上の課題
仮想マシンのフォーマット

ネットワーク

運用手順

スキルとツール

VM

重複する作業© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

監視と制御新たな選択肢© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

VMware Cloud on AWS: 概要
VMware SDDC をベアメタル の AWS 基盤上で直接実行するマネージドサービス
vRealize Suite, PowerCLI

運用管理
vCenterAWS CloudFormation, AWS CLI, AWS SDK

すべての AWS サービスに接続

VMware Cloud on AWS
vCenter…
Hybrid Linked-Mode…
AmazonEC2

AmazonS3

AmazonRDS…
vSphere
お客様のデータセンター

vSAN

NSX…
AmazonRedshiftAWS Direct
ConnectAWSInfrastructure
グローバルインフラストラクチャ
AWS Global© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

IAM

VMware Cloud on AWS: アクセスモデル• 物理リソースとして EC2 をベアメタルとして提供• ハイパーバイザ（vSphere）や仮想化技術の管理コンポーネントの提供• 仮想化基盤の管理（監視、パッチ管理、アップデート等）

USER• VMCポータル及び vCenter からお客様テナントへのアクセス• テナント上の仮想マシン及びネットワークの管理❈ ESXi root権限、VDS設定、管理VM/NSX Edge への直接アクセスはありません© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

利用シナリオとユースケース
VMware または AWS のお客様が VMware Cloud on AWS に感心を示す理由は幾つかのシナリオに集約されます。

シナリオ 1:
メンテナンスと拡張維持

拡張シナリオ 2:
DC統合と移行

シナリオ 3:
ﾜｰｸﾛｰﾄﾞの柔軟性

統合

必要に応じた柔軟性

移行

地域拡散
グロバリゼーション

データセンタ統合

本番/開発/テスト/教育
用途別に稼働領域を選択

災害対策、バックアップ、運用継続性

アプリケーション
移行

バースト対応© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

AWS のネイティブサービスとの連携
VPCVM

VM

L3 IPSEC VPN
EdgeInternet GW

VM ・・・ VM

ストレージ
ゲートウェイ

ESXi

NSX
Edge
VM VM VM ・・・ VM

AmazonEC2Edge

ESXi

Amazon S3VPCVPC Endpoint

AWS
DirectConnect© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

PrivateVirtualInterface

Elastic
Network
Interface
VPC Subnet

データベースVPC Subnet

管理

セキュ
リティ

VPC Subnet

お客様が得られる価値(AWSクラウドで得られる価値に加えて)• 基盤アップデートから解放 •（塩漬けからも解放）• 既存アプリの対応•• L2延伸• 大量VMの容易なLift＆Shift• vMotion移行?(SINET-DX）• VMC内のvMotion• VSANストレージ© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

Amazon S3のプライベー
ト接続
AWSのネイティブサービ
スとの連携

S3 によるデータハブで付加価値
コンテンツ
プロセッシング

データ分析

コンテンツ配信

CloudFront

Kinesis

EMR

Redshift

Elastic
Transcoder

データ交換

Lambda

データベース

EC2

Data
Pipeline
コードデプロイRDS
CodeCommitEBS

Storage
GatewayRedshiftDynamoDB

データアクセス
ゲートウェイStorage
Gateway© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

アーカイブ

Glacier

Code
Deploy操作ログ

IoT

AWS IoT

ConfigCloudTrail VMware Cloud on AWS で、既存の運用を変更せずにクラウドへ移行
 クラウドならではの価値を享受 VMware vSphere で培ったスキルをそのままに、AWSのサービスで提供される価値との融合
 運用管理からの解放で、守りから攻めの IT へシフト
 まずはSINET専用線でAWSクラウドへ接続しておく© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.

Still Day One.

© 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved.