Cloud Custodian を使用してクラウド ガバナンスをコードとして実装する方法

Cloud Custodian を使用してクラウド ガバナンスをコードとして実装する方法

[51CTO.com クイック翻訳] Cloud Custodian を使用するユーザーは、シンプルな YAML ポリシーを記述して、適切に管理されたクラウド コンピューティング インフラストラクチャを作成できます。

今日の拡大し続けるクラウド コンピューティング インフラストラクチャでは、すべてのリソースをコンプライアンスに従って管理することは困難です。企業には、クラウド コンピューティング リソースの使用に関する違反を検出し、是正措置を講じるために従う必要がある一連のポリシーがあります。これは通常、いくつかのカスタム スクリプトを記述し、サードパーティのツールと統合を使用することによって行われます。多くの開発チームは、カスタム スクリプトを管理、記述し、追跡することがいかに難しいかを知っています。ただし、Cloud Custodian DSL ポリシーを使用すると、クラウド コンピューティング リソースを簡単に管理できます。

クラウドガバナンスとは何ですか?

クラウド ガバナンスは、開発者がコストを管理し、セキュリティ リスクを最小限に抑え、効率を高め、展開を加速するためのポリシーを作成する方法を定義するフレームワークです。

ガバナンスをコードとして提供するツールは何ですか?

（1）AWS設定

AWS Config は主に AWS リソースのすべての設定データを記録および監視し、コンプライアンスの強化に役立つルールを構築できます。たとえば、複数のアカウントと複数の地域のオプションを設定します。また、定義済みの AWS マネージドルールもいくつか提供されており、それらを使用することもできますし、ユーザーが独自のカスタムルールを作成することもできます。一致に基づいて是正措置を講じることもできます。カスタム戦略の場合、アクションを実行するために独自の Lambda 関数を記述する必要があります。

ただし、ユーザーは Cloud Custodian を使用して AWS Config ルールを設定し、c7n-org を使用して複数のアカウントとリージョンのカスタムルールをサポートできます。さらに、AWS Lambda 関数を自動的に構成することもできます。

（２）Azureポリシー

Azure Policy は、Azure リソース全体に組織の標準を適用します。環境全体の状態を評価するための集計ビューと、リソースごと、ポリシーごとの粒度にドリルダウンする機能 (たとえば、ユーザーは A シリーズと B シリーズの VM のみを作成できます) を提供します。ユーザーは、組み込みポリシーを有効にしたり、すべてのリソースに対してカスタム ポリシーを作成したりできます。また、非準拠のリソースに対して自動修復アクションを実行することもできます。

Azure Policy は、顧客定義のルールからの逸脱を防ぐために、デプロイメント上にカスタム検証レイヤーを構築する上で信頼性が高く効率的です。コンプライアンスの施行に関して、Cloud Custodian と Azure Policy が実現できるシナリオには多くの重複があります。要件を確認するときは、まず Azure Policy を通じて適用できる要件を特定することをお勧めします。その後、Custodian を使用して残りの要件を実装できます。 Custodian は、Azure Policy でカバーされる要件に 2 番目の保護または軽減層を追加するためにもよく使用されます。これにより、ポリシーが正しく構成されていることが保証されます。

これまで、クラウド ガバナンスとは何か、市場で入手可能なツールは何かを見てきました。クラウド ガバナンスに関して Cloud Custodian が何を提供できるかを見てみましょう。

Cloud Custodian とは何ですか?

Cloud Custodian は、パブリック クラウド リソースをリアルタイムで管理するための CNCF サンドボックス プロジェクトです。これは、インフラストラクチャをコードとして記述するのと同じように、ユーザーがガバナンスをコードとして記述するのに役立ちます。問題のないリソースを検出し、修正するためのアクションを実行します。 Cloud Custodian もクラウドネイティブ ツールです。複数のクラウド コンピューティング プロバイダー (AWS、Azure、GCP など) で使用できます。

ユーザーは Cloud Custodian を次のように使用できます。

  • コードとしてのコンプライアンスとセキュリティ: シンプルな YAML DSL ポリシーをコードとして記述できます。
  • コスト削減: 不要なリソースを削除し、オン/オフタイム ポリシーを実装すると、コストを節約できます。
  • 運用効率: ガバナンスをコードとして追加することで、クラウドにおける安全なイノベーションの摩擦が軽減され、開発者の効率が向上します。

どのように機能しますか?

Cloud Custodian コマンドを実行すると、リソース、フィルター、アクションが入力として取得され、クラウド プロバイダーに応じてクラウド プロバイダー API 呼び出し (AWS Boto3 API など) に変換されます。カスタムスクリプトや AWS CLI コマンドについて心配する必要はありません。ユーザーは、Cloud Custodian に組み込まれた多くの一般的なフィルターやアクションとともに、明確で読みやすいポリシーを利用できます。カスタム フィルターが必要な場合は、いつでも JMESPath を使用してフィルターを記述できます。

場合によっては、ポリシーを定期的に実行したり、特定のイベントに基づいて実行したりする必要があります。 Cloud Custodian は、この目的のために Lambda 関数と CloudWatch イベントルールを自動的にプロビジョニングします。 CloudWatch イベント ルールは、スケジュール設定 (10 分ごと) することも、CloudTrail からの API 呼び出し、EC2 インスタンス ステータス イベントなどに応じてトリガーすることもできます。

Cloud Custodian をインストールして設定するにはどうすればいいですか?

Cloud Custodian は、Python の pip コマンドを使用するだけで簡単にインストールできます。

  1.  python3 -m venv カストディアン
  2. ソース custodian/bin/activate
  3.  pip install c7n # これにはAWSサポートが含まれます
  4. pip install c7n_azure #Azure パッケージをインストール
  5. pip install c7n_gcp #GCP パッケージをインストール

Cloud Custodian Dockerイメージの使用

  1. docker run -it \
  2.   -v $(pwd)/出力:/opt/custodian/出力\
  3.   -v $(pwd)/policy.yml:/opt/custodian/policy.yml \
  4.  --env-file <(env | grep "^AWS\|^AZURE\|^GOOGLE|^KUBECONFIG") \  
  5.      cloudcustodian/c7n 実行 -v --cache-period 0 -s /opt/custodian/output /opt/custodian/policy.yml  

注意: ACCESS および SECRET KEY、DEFAULT_REGION、KUBECONFIG は ENV 変数から取得され、ユーザーはポリシー YAML ファイルで定義されている必要な IAM ロールとポリシーにアクセスできる必要があります。別のオプションとしては、コンテナ内にファイル/ディレクトリをマウントすることです。

Cloud Custodian policy.yaml の説明

Cloud Custodian には、リソース、フィルター、アクションを含むシンプルな YAML ファイルがあります。

  • リソース: Custodian は、それぞれ独自のリソース タイプ (ec2、s3 バケットなど) を持つ複数のクラウド コンピューティング プロバイダー (AWS、GCP、Azure) をターゲットにすることができます。
  • フィルター: フィルターは、Custodian でリソースの特定のサブセットをターゲットにする方法です。特定の日付、タグなどに基づくことができます。カスタム フィルターは、JMESPath 式を使用して記述できます。
  • アクション: アクションは、フィルターに一致するリソースに対して実際に行われる決定です。このアクションは、リソースがクラウド ガバナンス ルールに一致しないというレポートを所有者に送信したり、リソースを削除したりするのと同じくらい簡単です。

アクションとフィルターは、ニーズを最適に表現するために、任意の数のルールと組み合わせることができます。

  1.  -名前:名- ポリシー
  2.   リソース:クラウドリソースの名前
  3.   説明:ポリシーの説明
  4.     フィルター:
  5.       - (リソースのサブセットを選択するフィルター)
  6.       - (その他のフィルター)
  7.     アクション:
  8.       - （アクション に トリガー フィルタリングされたリソース上)
  9.       - (その他のアクション)

クラウド管理者向けポリシーの例

公式ドキュメントには AWS ポリシーの例がほとんど記載されていますが、ここではコストを節約し、規制に準拠するためにユーザーが使用できるポリシーをいくつか選択しました。

(1)ebs-snapshots-month-old.yml

組織が直面する最も一般的な問題の 1 つは、環境に 1 年以上存在する古い AMI、スナップショット、ボリュームを削除する複雑さと、さらに費用がかかることです。最終的に、この状況に対処するために複数のカスタム スクリプトを作成する必要がありました。

30 日以上経過したスナップショットを削除する簡単な戦略は次のとおりです。

  1. ポリシー:
  2.   -名前: ebs-snapshots - 月- 古い
  3.     リソース: ebs-snapshot
  4.     フィルター:
  5.       - タイプ: 年齢
  6.         日数: 30
  7.         op:ge
  8.     アクション:
  9.       -消去 

以下は、Cloud Custodian ポリシーを実行する方法の例です。

  1. 管理者は-v -s /tmpを実行し、出力は/tmp/ebs-snapshots-month-old.yml になります。

Custodian コマンドを実行するたびに、-s オプションを使用して実行されます (例:

/tmp/output/ebs-snapshot-month-old/custodian-run.log) は、policies.name に渡された出力ディレクトリにファイルを作成/追加します。

  • custodian-run.log: すべてのコンソール ログがここに保存されます。
  • resources.json: フィルタリングされたリソース リスト。
  • metadata.json: フィルタリング リソースに関するメタデータ。
  • action-*: アクションが実行されたリソースのリスト。
  • $HOME/.cache/cloud-custodian.cache: すべてのクラウド API 呼び出しの結果がここにキャッシュされます。デフォルト値は 15 分です。

フィルタリングされたリソース レポートを取得するには、次のコマンドを実行します。デフォルトでは CSV 形式でレポートが提供されますが、--format json を渡すことで変更できます。

  1. 管理者レポート -s /tmp/出力/ --format csv ebs-snapshots-month-old.yml  

(2)承認済みami.yml

信頼できる AMI リストに一致しない EC2 の実行を停止します。

  1. ポリシー:
  2.  -名前:承認された友人のみ
  3.   リソース: ec2
  4.   コメント: |
  5.     無効なAMIを使用しているEC2インスタンスの実行を停止する
  6.   フィルター:
  7.     - "State.Name" : 実行中
  8.     - タイプ: 値
  9. キー: イメージID
  10.       op:ない-中 
  11.       価値：
  12.           - ami-04db49c0fb2215364 # Amazon Linux 2 AMI (HVM)
  13.           - ami-06a0b4e3b7eb7a300 # Red Hat Enterprise Linux 8 (HVM)
  14.           - ami-0b3acf3edf2397475 # SUSE Linux Enterprise Server 15 SP2 (HVM)
  15.           - ami-0c1a7f89451184c8b # Ubuntu Server 20.04 LTS (HVM)
  16.   アクション:
  17.     - 停止

(3) セキュリティグループチェック.yml

もっとよくある問題は、開発者が POC VM の作成時に SSH 経由のすべてのトラフィックを許可する傾向がある場合や、テスト中にポート 22 へのアクセスをすべてのポートに許可するが、そのルールを削除するのを忘れる場合です。次のポリシーは、すべてのグループから SSH アクセスを自動的に削除し、ネットワーク IP のみをセキュリティ グループに追加することで、これらの問題を解決できます。

  1. ポリシー:
  2.   -名前: sg-remove-permission
  3.     リソース: セキュリティグループ 
  4.     フィルター:
  5.        -または：
  6.              - タイプ: 入力
  7.                IPプロトコル: "-1"  
  8.                ポート: [22]
  9.                CIDR: "0.0.0.0/0"  
  10.              - タイプ: 入力
  11.                IPプロトコル: "-1"  
  12.                ポート: [22]
  13.                CidrV6: 「::/0」  
  14.     アクション:
  15.       -type:設定-permissions
  16.         削除イングレス: 一致
  17. -ingress を追加:
  18.           - IP権限:
  19.             - IPプロトコル: TCP
  20.               出発港: 22
  21.               港まで: 22
  22.               Ip範囲:
  23.                 - 説明: VPN1 アクセス
  24.                   CIDRIP: 「10.10.0.0/16」  

Kubernetes リソースのサポート

デプロイメント、ポッド、DaemonSet、ボリュームなどの Kubernetes リソースを管理できるようになりました。 Cloud Custodian を使用して記述できるポリシーの例をいくつか示します。

  • POC とタグなしリソースを削除します。
  • k8 リソースのラベルとパッチを更新します。
  • 調査結果に基づいて Webhook が呼び出されます。
  1.  kubernetes-削除-poc-resource.yml
  2. ポリシー:
  3.   -名前: -poc-namespaceを削除します
  4.     リソース: k8s.namespace
  5.     フィルター:
  6.     - タイプ: 値
  7. キー: 'metadata.name'  
  8.       op: 正規表現
  9.       値: '^.*poc.*$'  
  10.     アクション:
  11.       -消去  
  12.  
  13.   -名前: -poc-deploymentsを削除します
  14.     リソース: k8s.deployment
  15.     フィルター:
  16.     - タイプ: 値
  17. キー: 'metadata.name'  
  18.       op: 正規表現
  19.       値: '^.*poc.*$'  
  20.     アクション:
  21.       -消去 

注意: Cloud Custodian Kubernetes リソースはまだ開発中です。

Cloud Custodian と呼べるパターンの種類は何ですか?

  • pull: デフォルトのメソッドは手動で実行できます。 CI/CD ツール cron に追加することをお勧めします。
  • 定期的: クラウド コンピューティング リソース (CloudWatch cron を使用した AWS Lambda など) は、ポリシーに基づいてプロビジョニングされ、スケジュールに従って実行されます。
  • クラウド コンピューティング プロバイダーに基づくカスタム パターン: イベントが一致したときに実行されます。

Cloud Custodian と Jenkins CI の統合

簡単にするために、Cloud Custodian Docker イメージを使用し、認証情報を環境変数として挿入します。

注意: シークレット ファイルには、大文字のキーとデフォルト ゾーンが含まれている必要があります。 Kubernetes の場合、KUBE CONFIG ファイルをコンテナにマウントする必要があります。

  1. エクスポート AWS_ACCESS_KEY_ID=<YOUR_AWS_ACCESS_KEY>
  2. エクスポート AWS_SECRET_ACCESS_KEY=<YOUR_AWS_SECRET_ACCESS_KEY>
  3. エクスポート AWS_DEFAULT_REGION=<YOUR_DEFAULT_REGION> 
  4.  
  5. パイプライン{
  6.     エージェント{ ラベル'worker1' }
  7.     ステージ{
  8.         ステージ( 'cloudcustodian-non-prod' ){
  9.             ステップ{
  10.                 dir( "非本番環境" ){
  11.                     withCredentials([file(credentialsId: 'secretfile' , 変数: 'var_secretfile' )])
  12.                     {
  13.                     sh '' '
  14.                     ソース $var_secretfile > /dev/ null 2>&1
  15.                     環境 | grep "^AWS\\|^AZURE\\|^GOOGLE\\|^KUBECONFIG" > envfile 
  16.  
  17.  $(ls | egrep '.yml|.yaml' )内のファイルの場合
  18.                     する
  19.                         docker run --rm -t \  
  20.                         -v $(pwd)/出力:/opt/custodian/出力\
  21.                         -v $(パスワード):/opt/custodian/ \
  22.  --env-file 環境ファイル \  
  23.                         cloudcustodian/c7n 実行 -v -s /opt/custodian/出力/opt/custodian/$files
  24.                     終わり
  25. '' '
  26.                     }
  27.                 }
  28.             }
  29.         }
  30.         ステージ( "cloudcustodian-prod" ){
  31.             ステップ{
  32.                 dir( "prod" ){
  33.                     withCredentials([file(credentialsId: 'secretfile' , 変数: 'var_secretfile' )])
  34.                     {
  35.                     sh '' '
  36.                     ソース $var_secretfile > /dev/ null 2>&1
  37.                     環境 | grep "^AWS\\|^AZURE\\|^GOOGLE\\|^KUBECONFIG" > envfile 
  38.  
  39.  $(ls | egrep '.yml|.yaml' )内のファイルの場合
  40.                     する
  41.                         docker run --rm -t \  
  42.                         -v $(pwd)/出力:/opt/custodian/出力\
  43.                         -v $(パスワード):/opt/custodian/ \
  44.  --env-file 環境ファイル \  
  45.                         cloudcustodian/c7n 実行 -v -s /opt/custodian/出力/opt/custodian/$files
  46.                     終わり
  47. '' '
  48.                     }
  49.                 }
  50.             }
  51.         }
  52.     }
  53.  }

Jenkins コンソール出力:

ツールと機能

Cloud Custodian には、コミュニティによって開発された追加ツールが多数あります。

（1）マルチリージョン・マルチアカウント対応

c7n-org プラグインを使用すると、複数の AWS、AZURE、GCP アカウントを構成し、それらを並行して実行できます。フラグ --regionall を使用すると、すべてのリージョンで同じポリシーを実行できます。

（２）通知

c7n-mailer プラグインはアラート通知に高い柔軟性を提供し、Webhook、電子メール、キュー サービス、Datadog、Slack、Splunk を使用してアラートを送信できます。

（３）自動リソースタグ付け

c7n_trailcreator スクリプトは、CloudTrail レコードを処理してリソースとその作成者の SQLite DB を作成し、その SQLite DB を使用してリソースに作成者の名前をタグ付けします。

（４）記録と報告

JSON および CSV 形式のレポートを提供します。これらのメトリックはクラウド ネイティブ ログで収集され、美しいダッシュボードを生成することもできます。ログをローカル、S3、または Cloudwatch に保存します。一貫したログ形式により、ポリシーのトラブルシューティングが容易になります。

（５）保管人の試運転

試行では、戦略の運用部分は無視されます。ポリシーによって影響を受けるリソースを示します。実際のコードを実行する前に必ずドライランを実行するのがベストプラクティスです。

（6）カストディアンキャッシュ

いずれかのポリシーが実行されると、クラウドからデータが取得され、ローカルに 15 分間保存されます。キャッシュは API 呼び出しを最小限に抑えるために使用され、--cache-period0 オプションを使用して設定できます。

（7）エディタ統合

Visual Studio Code と統合して、自動コンパイルと提案を行うことができます。

（８）カストディアンモデル

custodian schema コマンドを使用すると、Cloud Custodian で使用できるリソース、操作、フィルターの種類を確認できます。

  1. カストディアンスキーマ#カストディアンで利用可能なすべてのリソースを表示します
  2. カストディアンスキーマaws #カストディアンで利用可能な aws リソースを表示します
  3. custodian schema aws.ec2 #aws ec2アクションを表示します フィルター​
  4. 管理者スキーマaws.ec2.actions #aws ec2 アクションのみを表示します 
  5. 管理者スキーマaws.ec2.actions.stop #ec2停止サンプルポリシーを表示し、  スキーマ 

Cloud Custodian は他のツールと比べてどう優れているのでしょうか?

  • 複数のクラウド プラットフォームと Kubernetes にわたるポリシーの記述におけるシンプルさと一貫性。
  • c7n-org を使用したマルチアカウントおよびマルチリージョンのサポート。
  • c7n-mailer を使用して幅広い通知チャネルをサポートします。
  • Custodian 用の Terraform プロバイダーは、Terraform IaaC モジュールに対する Custodian ポリシーの作成と評価をサポートします。
  • Custodian は AWS 構成と深く統合されています。 config でサポートされている任意の構成ルールを展開できます。さらに、AWS カスタム構成ポリシーに合わせて AWS Lambda を自動的に構成することもできます。
  • 必要に応じて、クラウド プロバイダー SDK に従ってすべてのルールをサポートしているため、カスタム ポリシーを Python で実装できます。
  • Cloud Custodian はオープンソースの CNCF サンドボックス プロジェクトです。

クラウド管理者の制限

  • デフォルトのダッシュボードはありません (AWS ネイティブダッシュボードはサポートされていますが、メトリック出力を Elasticsearch/Grafana などに送信してダッシュボードを作成することもできます)。
  • Cloud Custodian は、カスタム レイヤーの事前検証の展開を阻止できません。定期的に、または特定のイベントに基づいてのみ実行できます。
  • Cloud Custodian には組み込みポリシーはありません。ユーザーはすべてのポリシーを自分で記述する必要があります。ただし、参考として使用できる優れたサンプルポリシー (AWS、Azure、GCP) が多数あります。

結論は

Cloud Custodian を使用すると、適切に管理されたクラウド インフラストラクチャを促進するためのポリシーとしてルールと修復を定義できます。また、デプロイメントやポッドなどの Kubernetes リソースを管理するためのポリシーを記述するためにも使用できます。他のクラウドベースのガバナンス ツールと比較して、クラウド プラットフォーム間でポリシーとその一貫性を記述するための非常にシンプルな DSL が提供されます。このようにして、Custodian は摩擦を軽減し、クラウドにおける安全なイノベーションの効率を高めます。

ユーザーは Cloud Custodian を使用して、営業時間外およびクリーンアップ ポリシーを適用することでクラウド コストを最適化できます。また、マルチアカウント/リージョンのサポート、広範な通知ツール (Slack、SMTP、SQS、Datadog、Webhooks) などの多くのプラグインも含まれています。

原題: Cloud Custodian を使用してコードとしてクラウド ガバナンスを実装する、著者: Alok Maurya

[51CTOによる翻訳。パートナーサイトに転載する場合は、元の翻訳者と出典を51CTO.comとして明記してください。

<<:  クラウドを導入する際には、メリットとコストの他に何を考慮すべきでしょうか?

>>:  Curatorのソースコードから群集効果まで

推薦する

業務再開が迫る中、伝統的な産業は4つの戦略でオンライン販売の成長を達成するためにデジタルマーケティングを採用しています。

ショートビデオ、セルフメディア、インフルエンサーのためのワンストップサービス突然の疫病の発生により、...

ソウルもビリビリから「悪循環を断ち切る」方法を学びたい？

ソウルのソーシャルネットワーキングの本来の目的は、商業化の道に逆らう運命にある。ユーザー数の伸び悩み...

ChinaJoyから2018年のゲーム業界を展望します！

今年のChinaJoyでは、私たちがよく知っているシーンが多く上演されたが、「一見微妙だが、実は大き...

有名ブロガーから学ぶウェブサイトの直帰率を下げる方法

誰もが Lu Songsong を知っていると思います。彼のブログは、中国で最も優れた個人ブログの ...

colocrossing: ベアメタルクラウド、月額 20 ドル、8G メモリ/4 コア/120g SSD/20T トラフィック/1Gbps 帯域幅

Colocrossing のクラウド サーバー プラットフォームの新製品シリーズ「Bare Meta...

ハイパーコンバージェンス？クラウドネットワーク統合?統合に関する考察

[[405083]]この記事はWeChatの公開アカウント「zartbot」から転載したもので、著者...

中国最高人民法院、情報ネットワークの伝達権に関する司法解釈を発表

人民日報、北京12月26日（記者：李静）最高人民法院は本日、「情報ネットワーク通信権の侵害に関わる民...

ウェブサイト運営において無視できない最適化の詳細

2018年最もホットなプロジェクト：テレマーケティングロボットがあなたの参加を待っています多くの S...

2年経っても、Apple の有料リストはなぜまだ役に立たないリストなのでしょうか?

2年前の6月、AppleはWWDC 2017で「自らの皮を剥ぐ」決意を示した。App Storeは大...

virpus-$5.25/4 コア/Xen/1g メモリ/30g SSD/3T トラフィック/シアトル

2006年に設立され、XEN.PVベースのVPSを提供していたVPSベンダーのVirpusは、200...

その食事中に、クラウド コンピューティングについて多くのことを学びました。

週末が近づいており、李磊と数人の友人は一緒に春の遠出とバーベキューに行く約束をしていた。そこで、この...

オンラインプロモーション：市場での入札「成功か失敗かは小和にかかっている」

近年、オンラインプロモーションをいち早く取り入れた中小企業が、その恩恵を享受しています。世の中には予...

Amazon Invent 2021 クラウド テクノロジーの新たな成果: チップ、5G、サーバーレス、機械学習、メインフレームの移行...

[[439026]]毎年開催される re:invent は、Amazon クラウド テクノロジーの大...

alpharacks-VPSは年間わずか3.99ドルで、Banwagongの伝説を引き継ぐ

私たちの愛する BandwagonHost VPS が安価な IPV4 を利用できなくなって以来、年...

非主流の共同購入ウェブサイトの人生：自力で生計を立て始める

共同購入ナビゲーションサイト「Tuan800」が発表した最新データによると、3月の共同購入サイト「美...