1. はじめに
こんにちは！
今回は自分でアカウント作成とハンズオンを行ってみました！
この記事では、AWSアカウントの作成から最低限のセキュリティ設定・課金アラートの設定までを解説します。
この記事でできること
- AWSアカウントを作成する
- rootアカウントにMFAを設定して不正ログインを防ぐ
- Billing Alertを設定して課金事故を防ぐ
MFA設定について:
MFAはrootアカウントとIAMユーザーの両方に設定するのが正しい運用です。この記事ではrootアカウントへのMFA設定までを扱います。
無料枠について:
AWSには無料枠があり、この記事の内容はすべて無料枠の範囲内で実施できます。
ただ、クレジットカードの登録は必須になります。
2. AWSアカウントを作成する
まず AWS公式サイト にアクセスし、「アカウントの作成」をクリックします。
メールアドレスとアカウント名を入力する
- Eメールアドレス: AWSアカウントのrootユーザーとして使用するメールアドレスを入力します
- 新しいアカウント名: 自分がわかりやすい名前でOKです
入力後、「Eメールアドレスを確認」をクリックするとメールが届きます。
パスワードを設定する
メール認証が完了するとパスワード設定画面に移ります。
安全なパスワードを設定して「続行」をクリックします。
連絡先情報を入力する
氏名・電話番号・住所などを入力します。
「AWS カスタマーアグリーメントの条項を読み、同意します」にチェックを入れて次へ進みます。
クレジットカードを登録する
クレジットカードの登録が必要になっています！
AWSで利用可能なカードの種類や詳細なリストはこちらになります。
公式リストにはプリペイドカードも挙げられていますが、残高が不足して定期的な支払いに失敗した場合、AWSアカウントが即座に停止されるリスクがあるため推奨はされていません。
トラブルを防ぐためにも、原則として通常のクレジットカード（またはデビットカード）での登録が確実です。
登録後に不正利用が心配な方は、後述のBilling Alertを必ず設定しましょう！
プランを選択する
学習目的であれば「無料プランを選択」をクリックします。
クリック後は、コンソール画面に遷移します。
注意：
無料プランは6ヶ月間有効で、最大$200 USDのAWSクレジットが付与されます。
6ヶ月後 or クレジットを使い切った時点で有料プランへのアップグレードを選択でき、
アップグレードしない場合はアカウントが閉鎖されます。（データは失われます）
3. rootアカウントにMFAを設定する
ログイン後、最初にやるべきことはrootアカウントのMFA（多要素認証）設定です。
MFAとは？
MFA（Multi-Factor Authentication／多要素認証）とは、以下の3つの認証要素のうち2つ以上を組み合わせて認証する仕組みになります。
| 要素 | 内容 | 例 |
|---|---|---|
| 知識要素 | 本人だけが知っている情報 | パスワード・PIN |
| 所有要素 | 本人だけが持っているもの | スマートフォン・セキュリティキー |
| 生体要素 | 本人の身体的特徴 | 指紋・顔認証 |
AWSのAuthenticatorアプリを使ったMFAは「知識要素（パスワード）」＋「所有要素（Authenticatorアプリを導入したデバイス）」の組み合わせです。1つの要素が漏れても、もう1つがなければログインできないため、セキュリティが大幅に向上します。
なぜrootを直接使ってはいけないの？
rootアカウントはAWSのすべての操作が可能な最上位の権限を持っています。
パスワードだけで不正ログインされると、大量のリソースを作成されて莫大な請求が発生するリスクがあります。
MFAを設定することで、パスワードが漏れても第三者がログインできなくなります。
MFAの設定手順
事前準備として、仮想認証アプリケーションのインストールをしておきましょう！
利用可能な仮想認証アプリリストはこちらになります。
インストールが完了したらMFA設定を行なっていきます！
ログイン直後にMFA設定画面が表示されることがあります。
表示されない場合は、右上のアカウント名 → 「セキュリティ認証情報」→多要素認証 (MFA)グループにある「MFAデバイスの割り当て」ボタンをクリックすると設定できます。
MFAデバイス名は自分のわかりやすい任意の名前でOKです。
MFAデバイスの種類を選択します。デバイスのAuthenticatorアプリを使う場合は「認証アプリ」を選択し、「次へ」ボタンをクリックします。
「QRコードを表示」という部分をクリックすると、QRコードが表示されるのでAuthenticatorアプリで読み取り、表示される6桁のコードを2回入力して認証を行います。
その後、「この仮想MFAデバイスは正常に割り当てられました」と表示されれば設定完了です！
設定完了後は一度ログアウトし、MFAが正しく設定されているか確認しましょう！
再ログイン方法はAWSに「ルートユーザー」を選択し、Eメールアドレス、パスワードを入力を行います。
MFA認証画面に移動するので、表示されているワンタイムパスワードを入力してログインができれば問題なく設定できています！
4. Billing Alertを設定する（課金事故防止）
課金事故を防ぐために、請求アラートを設定します。今回の設定では2段階で行います。
4-1. 請求設定でアラートを有効化する
まずコンソール上部の検索バーで「Billing and Cost Management」と検索し、「請求とコスト管理」を開きます。
左メニューをスクロールして設定グループにある「請求設定」を選択します。
「アラート設定」の項目で以下の2つにチェックを入れて「更新」をクリックします。
- AWS 無料利用枠アラートを受信する：無料枠の使用量が一定を超えたら通知
- CloudWatch 請求アラートを受信する：自分で設定した金額を超えたら通知（一度有効にすると無効化できません）
4-2. CloudWatchでアラームを作成する
次に実際にいくらになったら通知するかを設定します。
重要：リージョンをバージニア北部に変更する
AWSの請求情報はグローバルで管理されており、バージニア北部（us-east-1）リージョンにしか表示されない仕様です。
東京リージョンのままだとBillingのメトリクスが選択できないため、必ず変更してください。
コンソール右上のリージョンを「米国東部（バージニア北部）」に変更したうえで、検索バーから「CloudWatch」を開きます。
左メニューの「アラーム」をクリックし、「アラームの作成」をクリックします。
（2箇所ありますが、どちらからクリックしても問題ないです！）
メトリクスの選択
「メトリクスの選択」→「参照」タブ→「Billing」をクリックします。
「概算合計請求額」をクリックします。
「EstimatedCharges」にチェックを入れて「メトリクスの選択」をクリックします。
条件の設定
以下のように設定します。
| 項目 | 設定値 |
|---|---|
| Currency | JP（日本円で管理する場合） |
| しきい値の種類 | 静的 |
| 条件 | より大きい（>） |
| しきい値 | 100（任意の値） |
| 統計 | 最大 |
| 期間 | 6時間 |
「次へ」をクリックします。
補足：
AWSクレジットが残っている間は請求額が0円のままのため、アラートは発動しません。
クレジットを使い切って実際の課金が発生したタイミングで通知されます。
アクション（通知先）の設定
- アラーム状態トリガー：アラーム状態
- 「新しいトピックの作成」を選択
- トピック名：
例）billing-alert - 通知を受け取るメールアドレスを入力
- 「トピックの作成」をクリック
トピック作成後に入力したメールアドレスに確認メールが届くので、リンクをクリックして承認してください。
アラーム名の設定
- アラーム名：
例）billing-alert - 説明：
無料枠の上限アラート
「次へ」をクリックして内容を確認し、問題なければ「アラームの作成」をクリックします。
「アラームbilling-alertが正常に作成されました」と表示されれば完了です！
5. まとめ
今回の設定でAWSを安全に使い始める準備が整いました。
いつもはIAMユーザーが配布されてから触っているので、自分でアカウントを作成してみて料金設定の大切さを改めて実感しました！
簡単30秒