AWS 認定 SAPro と DevOpsPro に合格した話
170 分集中するってつらいですね。那須です。
ものすごく久々に試験を受けてきました。 SAPro は 3 回目、DevOpsPro は初回です。 いろんなブログでも書かれている通り、SAPro 難しいというか精神的にきつくて DevOpsPro は SAPro に比べるとだいぶマシって感じでした。 AWS 認定試験の詳細が知りたい人は↓こちらをご覧ください。
なんで受験したの？
日々仕事でいろんな AWS サービスをつかっているので、せっかくなら客観的に「こいつはそれなりにできるな」と思われたいのもありましたし、やっぱり AWS に関わるエンジニアとしては持っておいた方がいろいろといいことあるのかなと思いなおしたので、チャレンジしてみました。 あとは、我流で使うのではなくてベストプラクティスとして公開されている使い方がどういうものかを理解することで、よりよい設計や運用ができるなーと直感で思ったのもあります。
スコア
SAPro は 75% でした。DevOpsPro は点数が一切送られてきません。。そういうもんでしょうか？ 数日後に送られてきました。71% でした。
今回合格した勉強法
まずは試験範囲の特定
まずはどのジャンルから出題されるのかを把握しないといけません。 その点では、LinuxAcademy は最高の教材ですね！ 毎月 5000 円くらいかかりますが、払えば使い放題なので本当に助かります。 AWS 以外にもいろんな分野の教材がそろってます。 LinuxAcademy で範囲を絞りつつ、動画を見て知識を蓄えていきます。 全部英語ですが、TOEIC 550 点前後をうろつく程度の私ですら普通に読み聞き出来たので、まあだいたいの人は大丈夫でしょう。知らんけど。
特定した範囲の勉強
範囲を絞ったら対象の AWS 公式ドキュメント（docs.aws.amazon.com から始まるアレです）を目を皿のようにして全部読みます。 合格した今だから言えますが、問題と答えの大半は公式ドキュメントに書かれています。 Slideshare とかに上がってる資料を読む時間があるなら、1 ページでも多く公式ドキュメントを読むべきだと思いました。 Blackbelt もいいんですが、内容が浅いので試験対策として読むにはあまり役に立たないです。 サービスの全体像を把握するために読む資料って位置づけだと思ってます。
仕上げ
模擬試験は受けましょう。 どんな問題が出るのか、どんな日本語で出るのか、どれくらいの難易度なのかが分かります。たったの 3000 円ちょっとなので、ケチらず受けましょう。 模擬試験の問題をちょこっと変えただけの問題もそれなりに出題されましたよ。
本番
大阪/兵庫で探しましたが、東京と比べるとキオスク端末の台数がかなり少ないので、希望の日時や場所が空いてないことが多いです。 なので、ある程度勉強していける感覚をつかんだら早めに予約しましょう。 大丈夫、きっちり勉強したならきっと合格できますよ！
AWS 認定試験のバージョンが上がるっぽい
2019 年 2 月に、SAPro と DevOpsPro の認定試験バージョンが上がるようです。 いい区切りやなと思ったので、私はこの 1 月受験に設定しました。 きっと出題範囲も難易度も上がることでしょう。 でも一度合格すればあとは再認定試験を受ければいいので、ちょっと気は楽かなと思います。
合格後の感想
CloudFormation で AutoScaling リソース作ってそれを更新する場合、いい感じでローリングアップデートしてくれるやりかたがあるのをつい最近試験勉強してて知りました。 マジで早く知りたかったと思ったので、AWS の場合はたかが試験勉強されど試験勉強。 実際に仕事でつかえそうな内容もたくさんあったので、資格なんか役に立たへんわ！なんて言わずに真面目に勉強しましょう。 いろんな意味で報われますよ。
CIS ベンチマークを使ってセキュリティレベルを少しずつ上げていこう(Inspector編)
今年はセキュリティのことをいろいろ勉強していこうと思います、那須です。
少し前に Security Hub を使って CIS ベンチマークの内容をベースに AWS アカウントのセキュリティチェックをかけてアクションを起こす話を書きました。
CIS ベンチマーク自体は AWS アカウントだけではなく、Azure や GCP のベンチマークも公開されていますし、各種 OS のベンチマークも公開されています。 Windows Server のベンチマークもあって中身を見てみたんですが、ものすごい数のチェック項目があります。 たぶん全部を満たすことは不可能だ！と思うくらい多いです。
ひとつひとつをチェックするのは大変ですが、自動でチェックしてくれるサービスがありました。
Amazon Inspector です！
Amazon Inspector とは？
とりあえずドキュメントリンクを貼っときます。
過去には簡単に Windows Server の脆弱性診断もやってみた記事を書きました。
さあこれでだいたいどんなものかイメージつきましたね？
Inspector を過小評価していた
実は、Inspector はただの脆弱性診断ツールだと思っていました。昨日までは。 でもよくドキュメントを読んでみると、CIS ベンチマークもサポートされていました！
Inspector を使えば、CIS ベンチマークに沿って定期的に OS のセキュリティ設定状況をチェックしてくれます。
OS セキュリティ設定チェックの流れ
クラスメソッドさんのブログに Inspector の使い方が書いてありますので、基本的な使い方は↓を見てください。 いやー、いつもほんと助かります！
↑この記事をベースに、ルールパッケージで CIS Operating System Security Configuration Benchmarks-1.0 を選択すれば CIS ベンチマークを利用して OS のセキュリティ設定をチェックしてくれます。
やってみた結果
とりあえず AWS から公開されている Windows Server 2012 R2 の AMI から EC2 インスタンスを起動して、試してみました。
いきなりチェックした結果の画面ですが、CIS ベンチマークの項目でひっかかった（推奨設定ができていない）件数がでていますので、その数字をクリックします。
ひっかかった項目すべてが表示されますので、フィルタのテキストボックスで rule 1.1.1 のように「rule <CISベンチマーク項目番号>」でフィルタしましょう。 するとその項目についての結果と詳細がすぐに出てきます。
結果の行の左端にある三角を押して展開すると、下記のように詳細説明や推奨設定内容が出てきます。 この内容に従って設定すると、次回のチェック時にはひっかからないはずですよ。
まとめ
セキュリティって何をもって適切に設定できているかの基準があいまいな場合が多いと思いますが、グローバルで公開されていて広く使われている基準らしいので、まずは CIS ベンチマークをセキュリティ設定のよりどころにするところから始めてみてはいかがでしょうか。
そして AWS アカウントと OS の両方の観点から CIS ベンチマークを使ってセキュリティチェックをかけてできていないことを定期的に確認して、少しずつでいいのでセキュリティレベルを上げていきましょう！
