事前作業2. セキュリティグループの更新 (Ingressの許可: ソースセキュリティグループ指定)¶

作業の目的 [why]¶

VPC"vpc-handson-cli"のセキュリティグループ"db-handson-cli"に、ソースセキュリティグループ"env-maint-db"から"5432/tcp"への通信を許可するルールを追加します。

完了条件/事前条件 [設計者用情報]

完了条件 [after]

主処理は、以下を満たしたときに成功したものとします。

完了条件1: VPC"vpc-handson-cli"のセキュリティグループ"db-handson-cli"に、ソースセキュリティグループ"env-maint-db"から"5432/tcp"に対する通信を許可するルールが存在する。

事前条件 [before]

主処理の実施は、以下の状態であることを前提とします。

事前条件1: VPC"vpc-handson-cli"が存在する。
事前条件2: VPC"vpc-handson-cli"にセキュリティグループ"db-handson-cli"が存在する。
事前条件3: VPC"vpc-handson-cli"にソースセキュリティグループ"env-maint-db"が存在する。
事前条件4: VPC"vpc-handson-cli"のセキュリティグループ"db-handson-cli"に、ソースセキュリティグループ"env-maint-db"から"5432/tcp"に対する通信を許可するルールが存在しない。

前提と異なることが判明した場合、直ちに処理を中止します。

作業対象 [what]¶

標準時間¶

8分

前提条件¶

作業権限条件 [who]¶

本作業は、以下の作業権限を有する人が行います。

作業権限条件: EC2への権限

EC2に対してフル権限があること。

作業環境条件 [where]¶

本作業は、以下の作業環境で行います。

作業環境条件1: OSとバージョン

Amazon Linuxの以下のバージョンで動作確認済

コマンド:

cat /etc/issue | head -1

結果(例):

Amazon Linux AMI release 2016.09

作業環境条件2: シェルとバージョン

bashの以下のバージョンで動作確認済

コマンド:

bash --version -v | head -1

結果(例):

GNU bash, バージョン 4.2.46(1)-release (x86_64-redhat-linux-gnu)

作業環境条件3: AWS CLIのバージョン

以下のバージョンで動作確認済

AWS CLI 1.14.18

コマンド:

aws --version

結果(例):

aws-cli/1.14.19 Python/2.7.12 Linux/4.4.11-23.53.amzn1.x86_64 botocore/1.8.23

バージョンが古い場合は最新版に更新しましょう。

コマンド:

sudo -H pip install -U awscli

開始条件¶

作業に必要なモノ・情報 [resource]¶

作業開始には、以下が全て揃っていることが必要です。

リソース1: VPCのタグ名

ルールを作成するセキュリティグループが属するVPCのタグ名称です。
今回は"vpc-handson-cli"とします。

リソース2: セキュリティグループ名

ルールを作成するセキュリティグループの名称です。
今回は"db-handson-cli"とします。

リソース3: プロトコルの指定

ルールの対象となるプロトコルです。
今回は"tcp'とします。

リソース4: ポート番号の指定

ルールの対象となるポート番号です。
今回は"5432'とします。

リソース5: SOURCEセキュリティグループの指定

ルールの対象となるソースセキュリティグループの名称です。
今回は"env-maint-db'とします。

作業開始 [when]¶

以下を全て満たしているとき、作業を開始します。

開始の指示があった場合。

タスクの実施¶

0. パラメータの指定¶

まず変数の確認をします。

変数の確認:

cat << ETX

  # 0.a. AWS_DEFAULT_PROFILE: <EC2のフル権限を許可されたプロファイル>
         AWS_DEFAULT_PROFILE="${AWS_DEFAULT_PROFILE}"
  # 0.b. AWS_DEFAULT_REGION: ap-northeast-1
         AWS_DEFAULT_REGION="${AWS_DEFAULT_REGION}"

  # 0.1. VPC_TAG_NAME: vpc-handson-cli
         VPC_TAG_NAME="${VPC_TAG_NAME}"
  # 0.2. VPC_SG_NAME: db-handson-cli
         VPC_SG_NAME="${VPC_SG_NAME}"
  # 0.3. VPC_SG_PROTOCOL: tcp
         VPC_SG_PROTOCOL="${VPC_SG_PROTOCOL}"
  # 0.4. VPC_SG_PORT: 5432
         VPC_SG_PORT="${VPC_SG_PORT}"
  # 0.5. VPC_SG_NAME_SOURCE: env-maint-db
         VPC_SG_NAME_SOURCE="${VPC_SG_NAME_SOURCE}"

ETX

下段の変数が入っていない、もしくは上段と同等の値が入っていない場合は、それぞれの手順番号について作業を行います。

0.a. プロファイルの指定¶

プロファイルの一覧を確認します。

コマンド:

cat ~/.aws/credentials \
 | grep '\[' \
 | sed 's/\[//g' | sed 's/\]//g'

結果(例):

iamFull-prjz-mbpr13
<EC2のフル権限を許可されたプロファイル>

変数の設定:

export AWS_DEFAULT_PROFILE='<EC2のフル権限を許可されたプロファイル>'

0.b. リージョンの指定¶

変数の設定

export AWS_DEFAULT_REGION='ap-northeast-1'

0.1. VPCのタグ名の指定¶

VPCのタグ名を指定します。

変数の設定:

VPC_TAG_NAME='vpc-handson-cli'

0.2. セキュリティグループ名の指定¶

セキュリティグループ名を指定します。

変数の設定:

VPC_SG_NAME='db-handson-cli'

0.3. プロトコルの指定¶

プロトコルを指定します。

変数の設定:

VPC_SG_PROTOCOL='tcp'

0.4. ポート番号の指定¶

ポート番号を指定します。

変数の設定:

VPC_SG_PORT='5432'

0.5. ソースセキュリティグループの指定¶

ルールの対象となるソースセキュリティグループ名を指定します。

変数の設定:

VPC_SG_NAME_SOURCE='env-maint-db'

再確認¶

設定されている変数の内容を再確認します。

変数の確認:

cat << ETX

  # 0.a. AWS_DEFAULT_PROFILE: <EC2のフル権限を許可されたプロファイル>
         AWS_DEFAULT_PROFILE="${AWS_DEFAULT_PROFILE}"
  # 0.b. AWS_DEFAULT_REGION: ap-northeast-1
         AWS_DEFAULT_REGION="${AWS_DEFAULT_REGION}"

  # 0.1. VPC_TAG_NAME: vpc-handson-cli
         VPC_TAG_NAME="${VPC_TAG_NAME}"
  # 0.2. VPC_SG_NAME: db-handson-cli
         VPC_SG_NAME="${VPC_SG_NAME}"
  # 0.3. VPC_SG_PROTOCOL: tcp
         VPC_SG_PROTOCOL="${VPC_SG_PROTOCOL}"
  # 0.4. VPC_SG_PORT: 5432
         VPC_SG_PORT="${VPC_SG_PORT}"
  # 0.5. VPC_SG_NAME_SOURCE: env-maint-db
         VPC_SG_NAME_SOURCE="${VPC_SG_NAME_SOURCE}"

ETX

1. 前処理¶

処理対象の状態確認¶

主処理の実施は、以下の状態であることを前提とします。

前提と異なることが判明した場合、直ちに処理を中止します。

事前条件1: VPC"vpc-handson-cli"が存在する。

「VPC"vpc-handson-cli"が存在する。」ことを確認します。

変数の設定:

EC2_TAG_KEY='Name'

コマンド:

aws ec2 describe-vpcs \
  --filters Name=tag:${EC2_TAG_KEY},Values=${VPC_TAG_NAME}  \
  --query "Vpcs[].Tags[].Value"

結果(例):

[
  "vpc-handson-cli"
]

VPC IDを取得します。

コマンド:

VPC_ID=$( \
  aws ec2 describe-vpcs \
    --filters Name=tag:${EC2_TAG_KEY},Values=${VPC_TAG_NAME}  \
    --query 'Vpcs[].VpcId' \
    --output text \
) \
  && echo ${VPC_ID}

結果(例):

vpc-xxxxxxxx

事前条件2: VPC"vpc-handson-cli"にセキュリティグループ"db-handson-cli"が存在する。

「VPC"vpc-handson-cli"にセキュリティグループ"db-handson-cli"が存在する。」ことを確認します。

コマンド:

aws ec2 describe-security-groups \
  --filter Name=vpc-id,Values=${VPC_ID} \
    Name=group-name,Values=${VPC_SG_NAME} \
  --query 'SecurityGroups[].GroupName'

結果(例):

[
  "db-handson-cli"
]

セキュリティグループIDを取得します。

コマンド:

VPC_SG_ID=$( \
  aws ec2 describe-security-groups \
    --filter Name=vpc-id,Values=${VPC_ID} \
      Name=group-name,Values=${VPC_SG_NAME} \
    --query "SecurityGroups[].GroupId" \
    --output text \
) \
  && echo ${VPC_SG_ID}

結果(例):

sg-xxxxxxxx

事前条件3: VPC"vpc-handson-cli"にソースセキュリティグループ"env-maint-db"が存在する。

「VPC"vpc-handson-cli"にソースセキュリティグループ"env-maint-db"が存在する。」ことを確認します。

コマンド:

aws ec2 describe-security-groups \
  --filter Name=vpc-id,Values=${VPC_ID} \
    Name=group-name,Values=${VPC_SG_NAME_SOURCE} \
  --query 'SecurityGroups[].GroupName'

結果(例):

[
  "env-maint-db"
]

セキュリティグループIDを取得します。

コマンド:

VPC_SG_ID_SOURCE=$( \
  aws ec2 describe-security-groups \
    --filter Name=vpc-id,Values=${VPC_ID} \
      Name=group-name,Values=${VPC_SG_NAME_SOURCE} \
    --query "SecurityGroups[].GroupId" \
    --output text \
) \
  && echo ${VPC_SG_ID_SOURCE}

結果(例):

sg-yyyyyyyy

事前条件4: VPC"vpc-handson-cli"のセキュリティグループ"db-handson-cli"に、ソースセキュリティグループ"env-maint-db"から"5432/tcp"に対する通信を許可するルールが存在しない。

「VPC"vpc-handson-cli"のセキュリティグループ"db-handson-cli"に、ソースセキュリティグループ"env-maint-db"から"5432/tcp"に対する通信を許可するルールが存在しない。」ことを確認します。

コマンド:

aws ec2 describe-security-groups \
  --filter Name=vpc-id,Values=${VPC_ID} \
    Name=group-name,Values=${VPC_SG_NAME} \
    Name=ip-permission.protocol,Values=${VPC_SG_PROTOCOL} \
    Name=ip-permission.to-port,Values=${VPC_SG_PORT} \
    Name=ip-permission.group-id,Values=${VPC_SG_ID_SOURCE} \
  --query "SecurityGroups[].IpPermissions[?IpProtocol == \`${VPC_SG_PROTOCOL}\` \
    && ToPort == \`${VPC_SG_PORT}\` \
    && UserIdGroupPairs[?GroupId == \`${VPC_SG_ID_SOURCE}\`]]"

結果(例):

[
  [
    {
        "FromPort": 5432,
        "IpProtocol": "tcp",
        "IpRanges": [],
        "Ipv6Ranges": [],
        "PrefixListIds": [],
        "ToPort": 5432,
        "UserIdGroupPairs": [
            {
                "GroupId": "sg-xxxxxxxx",
                "UserId": "XXXXXXXXXXXX"
            }
        ]
    }
  ]
]

2. 主処理¶

セキュリティグループのルール作成¶

変数の確認:

cat << ETX

  # VPC_SG_ID: sg-xxxxxxxx
    VPC_SG_ID="${VPC_SG_ID}"
  # VPC_SG_PROTOCOL: tcp
    VPC_SG_PROTOCOL="${VPC_SG_PROTOCOL}"
  # VPC_SG_PORT: 5432
    VPC_SG_PORT="${VPC_SG_PORT}"
  # VPC_SG_ID_SOURCE: sg-yyyyyyyy
    VPC_SG_ID_SOURCE="${VPC_SG_ID_SOURCE}"

ETX

コマンド:

aws ec2 authorize-security-group-ingress \
  --group-id ${VPC_SG_ID} \
  --protocol ${VPC_SG_PROTOCOL} \
  --port ${VPC_SG_PORT} \
  --source-group ${VPC_SG_ID_SOURCE}

結果(例):

(出力なし)

3. 後処理¶

完了条件の確認¶

主処理は、以下を満たしたときに成功したものとします。

完了条件1: VPC"vpc-handson-cli"のセキュリティグループ"db-handson-cli"に、ソースセキュリティグループ"env-maint-db"から"5432/tcp"に対する通信を許可するルールが存在する。

「VPC"vpc-handson-cli"のセキュリティグループ"db-handson-cli"に、ソースセキュリティグループ"env-maint-db"から"5432/tcp"に対する通信を許可するルールが存在する。」ことを確認します。

コマンド:

aws ec2 describe-security-groups \
  --filter Name=vpc-id,Values=${VPC_ID} \
    Name=group-name,Values=${VPC_SG_NAME} \
    Name=ip-permission.protocol,Values=${VPC_SG_PROTOCOL} \
    Name=ip-permission.to-port,Values=${VPC_SG_PORT} \
    Name=ip-permission.group-id,Values=${VPC_SG_ID_SOURCE} \
  --query "SecurityGroups[].IpPermissions[?IpProtocol == \`${VPC_SG_PROTOCOL}\` \
    && ToPort == \`${VPC_SG_PORT}\` \
    && UserIdGroupPairs[?GroupId == \`${VPC_SG_ID_SOURCE}\`]]"

結果(例):

[
  [
    {
        "FromPort": 5432,
        "IpProtocol": "tcp",
        "IpRanges": [],
        "Ipv6Ranges": [],
        "PrefixListIds": [],
        "ToPort": 5432,
        "UserIdGroupPairs": [
            {
                "GroupId": "sg-xxxxxxxx",
                "UserId": "XXXXXXXXXXXX"
            }
        ]
    }
  ]
]

handson: CDP (RDS Maintainance Environment)

事前作業2. セキュリティグループの更新 (Ingressの許可: ソースセキュリティグループ指定)¶

作業の目的 [why]¶

作業対象 [what]¶

標準時間¶

前提条件¶

作業権限条件 [who]¶

作業環境条件 [where]¶

開始条件¶

作業に必要なモノ・情報 [resource]¶

作業開始 [when]¶

タスクの実施¶

0. パラメータの指定¶

0.a. プロファイルの指定¶

0.b. リージョンの指定¶

0.1. VPCのタグ名の指定¶

0.2. セキュリティグループ名の指定¶

0.3. プロトコルの指定¶

0.4. ポート番号の指定¶

0.5. ソースセキュリティグループの指定¶

再確認¶

1. 前処理¶

処理対象の状態確認¶

2. 主処理¶

セキュリティグループのルール作成¶

3. 後処理¶

完了条件の確認¶

完了¶