【AWS移行】インターネット非接続な内部サイトを
「CloudWatch Synthetics Canary」で外形監視・移行した話

先日、社内システムをAWSへ移設するプロジェクトの中で、監視ツール全体のAWSネイティブ化（見直し）を行いました。

サーバーのリソース監視やサービス・ログ監視については、標準のAmazon CloudWatch / CloudWatch Logsへすんなり移行できたのですが、一つ工夫が必要だったのが「URLの外形監視」です。

これをAWSネイティブで実現するために「CloudWatch Synthetics Canary」を採用したのですが、今回の構成上のポイントは「対象サイトがインターネットへの接続を許可していない、プライベートVPC内の内部環境だった」という点です。

パブリックなWebサイトなら数クリックで設定できますが、閉域環境だとそうはいきません。
閉域環境でCanaryを運用するにあたり、主に以下の3点が設計上のポイントになりました。

• VPC内（プライベートサブネット）にCanaryを配置
  - Canary（Lambda）をVPC内に配置し、内部のロードバランサー（ALB）やプライベートIPに対して直接リクエストを送信する構成にしました。
• VPCエンドポイント（Interface Endpoint）の活用
  - Canaryがテスト結果やログをCloudWatch/S3へ送信する際も、インターネットを経由せず、VPCエンドポイント経由で通信を完結させることでセキュリティ要件をクリアしました。
• 認証情報はSecrets Managerから動的取得
  - 社内用のBasic認証がかかっているエンドポイントだったため、パスワードをスクリプト内に直接記述（ハードコード）せず、実行時にAWS Secrets Managerから動的に取得・注入するセキュアな構成にしました。

• セキュリティポリシーを完全遵守できた
  インターネットにポートを開けたり、外部監視ツールのIPアドレスを許可リストで管理したりする必要がなくなりました。
• アラート通知フローのシームレスな統合
  Canaryでの外形監視エラーも最終的にCloudWatch Alarmsのメトリクスとして扱えるため、リソース監視と同じ通知フロー（Amazon SNS経由）にそのまま乗せることができました。
• IaC（コード化）による管理の統一
  インフラのコード管理にCanaryの監視定義も組み込めるため、環境構築や横展開が容易になりました。

「外形監視＝パブリックなURLを外から叩くもの」と思われがちですが、セキュリティ制限の厳しいエンタープライズ環境や内部サイトこそ、VPC内で安全に完結できるCanaryが活躍します。

クラウド移行時の監視設計で悩んでいる方の参考になれば幸いです。

弊社は下記の取り組みを行っております。ぜひご利用ください。

ブリヂストン、出光興産のCDOを歴任してDXの第一人者と言える三枝氏がモデレーターを務め、毎回異なる企業のデジタル担当者のお話をお伺いしていくオンラインサロンです。詳細はこちら

業務のデジタル化（効率化・自動化）に関し、無料セミナーを毎月5回開催し、動画でのノウハウ提供も開始しております。Microsoft 365のPower Platform、WinActorなどのRPAツールの活用ノウハウを無料で提供しております。詳細はこちら

「Power Platform SE（PPS）による内製化支援サービス」詳細はこちら
「Microsoft 365」とは｜特徴、導入のメリット、費用や管理・運用について、IIMヒューマンソリューションによる導入のメリットや事例はこちら

JALデジタル（旧 JALインフォテック）様、コニカミノルタ様、官公庁系研究所様、PayPay銀行（旧 ジャパンネット銀行）様、フルキャストホールディングス様、鹿島建物総合管理様、そのほか多数の導入事例をご紹介しております。詳細はこちら