はじめに株式会社GENDAでSRE/インフラエンジニアをしている布田です。本記事では、Aurora MySQL のインスタンスサイズを CDK で安全に変更した事例を紹介します。今回は db.r7g.4xlarge から db.r7g.2xlarge へのダウンサイジングでした。ダウンタイムを最小限に抑えながら安全に行うためにDBのインスタンスを宣言的にすると良いと思ったので、その内容をまとめました。 やりたかったこと：B/Gデプロイ方式での移行ダウンタイムを最小化するために、以下の手順で移行したいと考えました。新しいサイズでDBインスタンスを追加（ダウンタイムなし）...

CDKでAuroraのインスタンスサイズを安全に変更する - 宣言的なDB定義のすすめ

はじめにAWSの監視アラートをSlackに通知する際、「特定のユーザーやグループにメンションを飛ばしたい」という要件はよくあるかなと思います。しかし、CloudWatch AlarmからSNS経由でSlackに通知する従来の方法では、メンションの実現が難しいという課題がありました。カスタム通知機能を使ってCloudWatch AlarmからSlackへメンション付きの通知を送ることができるのでその方法をまとめました。↓の画像が結果のイメージです。 Amazon Q Developer in chat applications （旧:AWS Chatbot）のカスタム通知...

Amazon Q Developer in chat applications でユーザ/ユーザーグループへのSlackメンションを実現する

はじめに株式会社GENDAでSRE/インフラエンジニアをしている布田です。本記事では、私が所属しているSRE/インフラチームでスクラムを導入した事例について紹介します。ちなみに、この記事はGENDA Advent Calendar 2025 シリーズ3 Day24 の記事です。他の記事もぜひ読んでください！https://qiita.com/advent-calendar/2025/genda SREチームのタスク管理について私が入社した当初、SREチームとしてやるべきことはわかっているものの、タスクを進める中で「このタスクいつ終わるんだっけ？」「今って何を優先すべきなん...

複数プロダクトを支えるSREチームにスクラムを導入した話

はじめに株式会社GENDAでSRE/インフラエンジニアをしている布田です。本記事では、 HCP Terraformで PRベースのGitHub Organizationメンバー管理フロー を実現した事例を紹介します。ちなみに、この記事はGENDA Advent Calendar 2025 シリーズ1 Day12 の記事です。他の記事もぜひ読んでください！https://qiita.com/advent-calendar/2025/genda なぜ導入したのか トレーサビリティの向上弊社には複数のグループやプロダクトも多数あるため、管理の都合上GtiHubのOrgも必然...

GitHub Organizationのメンバー管理をHCP Terraformで管理する際の実装方法

AWS環境の運用において、IAM Identity Centerのユーザー管理や権限付与は定期的に発生する作業の一つかと思います。弊社でもSRE/インフラチームが依頼を受けますが、承認と作業はSlackのワークフローとLambdaを組み合わせて自動化していて、依頼内容を確認して「承認」ボタンを押せば依頼内容通りに権限が付与されるという仕組みがあります。ただ、依頼の頻度があまり高くないことからこれを運用し続けることって逆にコストの方が大きくならないか？と思うこともあります。だからといって自動化をなくしても、適切なアカウントへのアクセス・権限セットの確認・付与の実行など、多くの手順を踏む必...

Amazon Q Developer CLIのカスタムエージェントでIAM Identity Centerの操作を効率化する

はじめにGitHubの権限を整理しているときに、リポジトリに付与されている特定ユーザのAdmin権限をWriteに変更しました。そうすると、CodeBuildのデプロイが失敗するようになりました。この謎を追い、何を学んだかを書いていきます。 現象今回、次の問題に遭遇しました。リポジトリの権限を整理する中で、特定ユーザーの権限を admin から write に変更したところ、CodeBuild のビルドが失敗するようになりました。 仕組みがわからなかったため、原因の切り分けと対応策の検討が必要でした。Roleの admin を write に変えると失敗する 発生し...

GitHubのリポジトリでユーザー権限を変更したらCodeBuildが失敗した話

はじめに弊社ではAmazon Q Developer(Pro Tier) を導入し検証しています。ツールのアップデートが多く陳腐化するスピードも早いと思いますが、インストールした後に次はどうしよう？となったときに何をすると良さそうかを書きたいと思います。!基本的にCLIで活用する前提です。 まとめやること① CLIの最新化: インストール後も定期的にアップデートし、最新機能と修正を取り込む。やること②-1 コンテキスト設定: AmazonQ.md、README.md、.amazonq/rules/**/*.md を用意する。やること②-2 カスタムエージェン...

Amazon Q Developer CLI をインストールして、さぁ、使うぞ！となった時に読む記事

はじめにAmazon Q Developerには use_aws というビルドインのツールがあります。公式ドキュメントの説明では、AWS サービスとやり取りするための CLI AWS 呼び出しを行います。 と書かれているのですが、これって execute_bash でCLI Commandを叩いたりAWS API MCP Severを使ってAPI叩くのと何か違うのか？と思ったので調査してみました。https://docs.aws.amazon.com/ja_jp/amazonq/latest/qdeveloper-ug/command-line-chat-tools.htmlh...

Amazon Q Developerのビルトインツール 'use_aws'の強みとは？

tl;dr下記イベントに参加するにあたって、普段から他のツールで使用している設定やルールを適用しつつ、どの程度使い勝手に違いが出るかも試しました。結論からいうと、MCPサーバの設定とルールの設定がコアな要素になるためか従来のツールと同程度の使い勝手は維持できたと感じてます(ポジティブな感想として)。その体験とAmazonQ CLIを利用する上でのポイントについても記載しています。https://aws.amazon.com/jp/blogs/news/build-games-with-amazon-q-cli-and-score-a-t-shirt/ 設定について普段から特...

Amazon Q CLI 初心者がゲームを作って分かった使用のコツ

はじめにAWS NetworkFirewallをCloudFormationで作成する際に、以下の要素を取り込んだテンプレートを作成しました。忘れた時に見返すように残しておきます。VPCルートテーブルの宛先にNetworkFirewallを設定する"厳密な順序"を指定したNetworkFirewallポリシーを作成するAWS Managed Threat Signatures を有効化する/アラートモードを有効化するPolicyVariables に複数のCIDRを設定する やったこと VPCルートテーブルの宛先にNetworkFirewallを設定するルート...

CloudFormationでNetworkFirewallを作成する時に見直す記事

はじめにAWS NetworkFirewallはデプロイモデルを紹介する記事があります。社内における通信を検査したい場合は集約型の展開モデルを利用することになると思います。ただ、送信元の情報を知りたい場合はNetworkFirewallで検知するイベントにはアカウントIDなどが含まれていないため、送信元IPから判断するしかありません。共通システムがあったり、オンプレとの通信が必要な場合はCIDRが重複することがないように設計されていると思いますので、CIDRとアカウントの管理情報があればIPから送信元のアカウントを特定できます。 やったこと 前提最初にDynamoDBな...

AWS NetworkFirewall(集約型の展開モデル)における送信元アカウントの確認

やりたいことOpenSearchServerlessにEC2からIndexを作成します。OpenSearchServerlessへの接続はPublicとPrivateから選ぶことができるのですが、今回はVPCの中にVPCエンドポイントを作成したPrivate接続で検証したいと思います。Postmanなどを利用する方法もありますが、今回はcurlコマンドで実行する方法をまとめます。このIndexは Amazon Bedrock Knowledge Base のベクトルデータベースとして使用するため、Index作成時に必要な設定も加えます。 やってみた結果 事前リソースの作...

OpenSearch ServerlessにEC2からcurlでIndexを作成する方法

やりたかったことAWSではPrivateLinkを用いることで、VPC内のサービスからインターネットを経由せずに、VPC外のAWSのサービスへアクセスすることができます。今回は、PrivateLink利用時の仕組みの理解が少し曖昧だったので調べがてら整理してみました。 PrivateLinkとは何かサービスのページに記述があります。AWS PrivateLink は、トラフィックをパブリックインターネットに公開することなく、VPC、AWS のサービス、およびオンプレミスネットワーク間のプライベート接続を提供します。https://aws.amazon.com/jp/p...

PrivateLinkについて調べてまとめてみた

常に最新のAMI IDを保持しておきたい障害発生時にCloudFormationでEC2を構築する場合、最新のAMIを指定して構築したいケースは多いと思います。色々やり方はあると思いますが、今回は最新のAMI IDの情報を常にParameterStoreに格納してそれを参照する方法を検討していきます。!もっと良い別の方法や、後続で出てくる処理の最適化方法はあるかもしれませんが、あくまでも参考として見ただければと思います。 やりたいことまずは、AWS Backupを使用してAMIを取得し、それを契機にParameterStoreにAMI IDの情報を格納します。最初はメイ...

AMI取得時にパラメータストアに最新のAMI_IDを格納する方法(+DRサイトへの展開)

許可されていないアカウントから共有されたリソースとは？AWSでリソースを共有するとなるとResourceAccessManager思い浮かべる人が多いと思います。ですが、AMIやEBS Snapshot、RDS Snapshotはこのサービス自体で共有する機能を持ちます。https://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/sharingamis-explicit.htmlこれらのリソースは、共有元アカウントが共有先アカウントを指定することで共有されます。もし、自分が全く知らないアカウントから共有されてしまった場合に...

許可していないアカウントからリソースが共有がされている時の対応(AMI/EBS Snapshot)

インターネットを経由せずにパイプラインを作れるの？まず、そもそもとしてインターネットを経由せずにパイプラインを作ることができるのか、という疑問があります。下記資料のp.58にもありますが、これに関してはYESです。https://www2.slideshare.net/AmazonWebServicesJapan/20201111-aws-black-belt-online-seminar-aws-codestar-aws-codepipelineVPCエンドポイントを経由するとインターネットにアクセスすることなくサービスと連携が可能。AWS CodeCommit、AWS ...

CodeCommit/CodeBuildからECRへPushする際に、Privateな環境になっているか確認するポイント

別アカウントのCodeCommitにVCPエンドポイント経由でアクセスしたい今回、CodeCommitにクロスアカウントアクセスする際に、VCPエンドポイントを利用してクローズドな環境でのアクセスを目指していきたいと思います。難しいことはないのですが、1点だけハマったポイントがありましたのでその共有用の記事となります。最初に書いておくと、VPCエンドポイント経由で別アカウントのCodeCommitリポジトリにクロスアカウントアクセスしようとすると、応答がなくなる という事象です。これは、AssumeRoleする際のstsコマンドを実行による問題となります。ですが、この記事では、あ...

VPCエンドポイント(PrivateLink)を利用して、CodeCommitにクロスアカウントアクセスする際の注意点

この記事について仕事でStackSetsについて色々と調べる事があり、その時にOrganizationsの機能と連携させる方法について調べたのでまとめます。Organizationsに限定せず、その時に調べた管理方法も載せています。 AWS CloudFormation StackSetsとは？CloudFormationはわかっている前提ですが、1つのAWS CloudFormationテンプレートを利用して、複数のリージョンにおけるAWSアカウントにスタックを作成できます。https://docs.aws.amazon.com/ja_jp/AWSCloudFormat...

AWS CloudFormation StackSetsでOrganizationsの機能を利用する方法

AWS Config ルールの評価結果を Security Hub にインポートする自分で作成したConfig ルールも合わせてSecurityHubで管理する場合、標準機能ではないため(SecurityHubと統合していないので)、仕組みを構築する必要があります。下記の記事ではその方法について書かれています。今回はこれを試していきます。https://aws.amazon.com/jp/blogs/news/how-to-import-aws-config-rules-evaluations-findings-security-hub/ここでは、GithubでCloudFor...

「AWS Config ルールの評価結果を Security Hub にインポートする方法」を試す

SystemsManager Automationのドキュメントでリソース指定にIDを使いたくないAWSではSystemsManager Automation(以下、SSM Automation)という機能があります。その機能を利用したEC2バックアップ方法について記事を書きました。実際はこのドキュメントをメンテナンスウィンドウを利用して定期的に実行しています。https://zenn.dev/chittai/articles/20201028-aws-ec2-backuphttps://docs.aws.amazon.com/ja_jp/systems-manager/la...