新型コロナやオリンピックの影響でテレワークが推し進められています。 テレワークに AWS を活用したいご要望が増えています。 そのようなご要望に応えるために AWS を活用するパターン集を作りました。

1. © 2020 Classmethod, Inc.
テレワークに
AWS を活用するパターン集
情報提供資料
クラスメソッド株式会社
2020/3/6

2. © 2020 Classmethod, Inc. 1
はじめに
本資料は、企業が在宅勤務/テレワークを実施するにあたり
AWS 上のシステム、または、
AWS とオンプレミスのハイブリットなシステムを
自宅や外出先から利用する場合の構成パターンを記述したものです。
記述されている構成図は基本的な構成を示しています。
仕様や費用は執筆日時点での情報です。
AWS 公式ドキュメントと差異があるときには、
AWS 公式を正とします。

3. © 2020 Classmethod, Inc.
Client VPN

4. © 2020 Classmethod, Inc. 3
Client VPN 構成図

5. © 2020 Classmethod, Inc. 4
Client VPN 説明
【概要】
• マネージドサービスの Client VPN を使用。
【可用性】
• VPN サブネットを2つ Multi-AZ で用意。
【認証】
• VPN の認証は Active Directory 認証と相互認証(証明書) の何れか。
• Active Directory は既存の AD サーバーと接続も可能。
• 多要素認証も可能 (既存 AD の機能に依存)。
• 相互認証はエンドポイントあたり1つの証明書を発行。
【管理・統制】
• Active Directory グループごとにアクセス可能なネットワークを定義。
• クライアント接続ログは CloudWatch Logs に保存される。

6. © 2020 Classmethod, Inc. 5
Client VPN 利点懸念
利点
• VPN サーバーの管理が不要になる
• 既存の Active Directory でユーザー管理が可能
懸念
• スケールは AWS によって自動的に行われ、自身ではコントロール不可。
• 相互認証の場合、エンドポイントに一つの証明書になる。(ユーザーごとではなく)

7. © 2020 Classmethod, Inc. 6
Client VPN AWS 利用料金 概算
VPN Client VPN エンドポイントの時間料金 0.15USD/時間
VPN VPN 接続料金 (アクティブ接続あたり) 0.05USD/時間
Directory Service
for Microsoft Active Directory
(Standard Edition)
基本料金 (2 つのドメインコントローラー) 0.146 USD/時間 (*1)
Directory Service
AD Connector
スモール 0.08 USD/時間 (*1)
Directory Service
Simple AD
スモール 0.08 USD/時間 (*1)
Direct
Connect
専用接続 1G 日本でのポート時間料金 0.285 USD/時間 (*2)
Direct
Connect
データ転送 東京リージョンからアット東京 CC1 0.0410 USD/GB (*2)
Direct
Connect
※ 別途回線費用がかかります。
※ 詳しくは AWS Direct Connect パートナー へお問い合わせください
お問い合わせください (*2)
(*1) 何れかを選択いただけます。
(*2) 構成図にある Direct Connect を使用する場合に発生します。

8. © 2020 Classmethod, Inc.
VPNサーバー on EC2

9. © 2020 Classmethod, Inc. 8
VPNサーバー on EC2 構成図

10. © 2020 Classmethod, Inc. 9
VPNサーバー on EC2 説明
【概要】
• VPN サーバーは EC2 で構成、 Multi-AZ 配置。
• クライアントとは別に Direct Conncet でデータセンター等と接続している場合
VPN サーバーは NAT モード (IP マスカレード) にしておく。
• VPN サーバーのソフトウェアによっては高機能なものもある。
【可用性】
• Route 53 でラウンドロビンより VPN サーバーを割り振り。
• EC2 を増やすことでスケールアウトする。
【認証】
• 認証サーバーを用意しておくと VPN ID 管理が楽。
【管理・統制】
• VPN サーバー自体や OS のセキュリティ対策は自社で行う。

11. © 2020 Classmethod, Inc. 10
VPNサーバー on EC2 AWS 利用料金 概算
EC2 インスタンス m5.large (2 vCPU, 8 GiB, Linux)
※ 上記は例です。様々なインスタンスタイプがございます。
https://aws.amazon.com/jp/ec2/pricing/
0.124USD/時間
EC2 EC2 からインターネットへのデータ転送料金 9.999 TB /月まで 0.114USD/GB
※ 10TB以降はボリュームディスカウント
EBS 汎用 SSD (gp2) ボリューム 1 か月にプロビジョニングされたストレージ
1 GB あたり 0.12USD
Direct
Connect
専用接続 1G 日本でのポート時間料金 0.285 USD/時間 (*1)
Direct
Connect
データ転送 東京リージョンからアット東京 CC1 0.0410 USD/GB (*1)
Direct
Connect
※ 別途回線費用がかかります。
※ 詳しくは AWS Direct Connect パートナー へお問い合わせください
お問い合わせください (*1)
(*1) 構成図にある Direct Connect を使用する場合に発生します。

12. © 2020 Classmethod, Inc. 11
VPNサーバー on EC2 利点懸念
利点
• EC2 上にセットアップする VPN ソフトウェアは任意で選べるため
マネージドサービスで満たせない特殊な要件がある場合には最適。
懸念
• EC2 の管理(パッチ、バージョンアップ、パフォーマンスなど)が発生。
• EC2 分の費用が発生。

13. © 2020 Classmethod, Inc.
WorkSpaces

14. © 2020 Classmethod, Inc. 13
WorkSpaces 構成図

15. © 2020 Classmethod, Inc. 14
WorkSpaces 説明
【概要】
• 専用クライアント、または、Web アクセスで仮想デスクトップへ接続。
• 仮想デスクトップは Windows と Linux を用意。
• Windows, MS Office のライセンス持込可能。
【可用性】
• AWS 管理のもとで冗長構成が組まれている。
【認証】
• ユーザー管理は Directory Service を使用。
• 独自にディレクトリを持つことも既存 Active Directory と連携も可能。
• 多要素認証(既存 AD の機能に依存)、証明書によるアクセス制御が可能。
【管理・統制】
• グループポリシーを仮想デスクトップに適用可能。
• 自社の業務で必要なカスタマイズをしたイメージを作成可能。
• IP アドレスによるアクセス制御

16. © 2020 Classmethod, Inc. 15
WorkSpaces AWS 利用料金 概算
WorkSpaces 例：Windows バンドルオプション
スタンダード 2 vCPU、4 GiB メモリ、ルート 80 GB、ユーザー 50 GB
※ 時間課金など様々なオプションがあります
https://aws.amazon.com/jp/workspaces/pricing/
月額料金
47 USD
Directory Service
for Microsoft Active Directory
(Standard Edition)
基本料金 (2 つのドメインコントローラー) 0.146 USD/時間 (*1)
Directory Service
AD Connector
WorkSpaces 費用に含まれる WorkSpaces 費用に含まれる
(*1)
Directory Service
Simple AD
WorkSpaces 費用に含まれる WorkSpaces 費用に含まれる
(*1)
Direct
Connect
専用接続 1G 日本でのポート時間料金 0.285 USD/時間 (*2)
Direct
Connect
データ転送 東京リージョンからアット東京 CC1 0.0410 USD/GB (*2)
Direct
Connect
※ 別途回線費用がかかります。
※ 詳しくは AWS Direct Connect パートナー へお問い合わせください
お問い合わせください (*2)
(*1) 何れかを選択いただけます。
(*2) 構成図にある Direct Connect を使用する場合に発生します。

17. © 2020 Classmethod, Inc. 16
WorkSpaces 利点懸念
利点
• 仮想デスクトップがすぐに使える。
• 基本的な認証機能、セキュリティ機能は有している。
懸念
• ネイティブな Windows7/10 ではないため(Windows Server をカスタム)、
デスクトップで使うソフトウェアは事前検証が必要。
• 一人につき仮想デスクトップ一台になるのでコストに注意。
• MS Office 付きバンドルを使う場合は、Office ライセンスが
二重払い(ローカルのPCと仮想デスクトップ)になる。

18. © 2020 Classmethod, Inc.
AppStream 2.0

19. © 2020 Classmethod, Inc. 18
AppStream 2.0 構成図

20. © 2020 Classmethod, Inc. 19
AppStream 2.0 説明
【概要】
• 特定アプリケーションをストリーミングでユーザーへ提供。
• HTML5 対応ブラウザ、または、専用クライアントから利用。
【可用性】
• AWS 管理のもとで冗長構成が組まれている。
【認証】
• ユーザープール(組み込み)/SAML2.0/独自 ID サービスの3種類の認証。
【管理・統制】
• ユーザーが使うアプリケーションインストール済みのイメージを作成。
• HIPAA に適合、PCI に準拠。

21. © 2020 Classmethod, Inc. 20
AppStream 2.0 AWS 利用料金 概算
AppStream 2.0 イメージビルダーインスタンス
stream.standard.large (2vCPU, 8 GiB)
常時稼働フリートインスタンス
stream.standard.large (2vCPU, 8 GiB)
※ 上記は例です。オンデマンドなど様々なインスタンスがございます。
https://aws.amazon.com/jp/appstream2/pricing/?nc=sn&loc=4
0.24USD/時間
0.24USD/時間
Directory Service
for Microsoft Active Directory
(Standard Edition)
基本料金 (2 つのドメインコントローラー) 0.146 USD/時間 (*1)
Direct
Connect
専用接続 1G 日本でのポート時間料金 0.285 USD/時間 (*2)
Direct
Connect
データ転送 東京リージョンからアット東京 CC1 0.0410 USD/GB (*2)
Direct
Connect
※ 別途回線費用がかかります。
※ 詳しくは AWS Direct Connect パートナー へお問い合わせください
お問い合わせください (*2)
(*1) 構成図にある Directory Service for Microsoft Active Directory を使用する場合に発生します。
(*2) 構成図にある Direct Connect を使用する場合に発生します。

22. © 2020 Classmethod, Inc. 21
AppStream 2.0 利点懸念
利点
• デスクトップではなくアプリケーションのみを使いたい場合に最適。
• インフラ管理が不要。
懸念
• イメージに管理が発生。
• 1ユーザー1インスタンスになるのでコストに注意。

23. © 2020 Classmethod, Inc.
参考情報

24. © 2020 Classmethod, Inc. 23
参考情報
[アップデート] AWS Client VPN 用の VPN クライアントが AWS より提供されました
HIGOBASHI.AWS 第3回 ネットワーク応用編：「AWSでソフトウェアVPNを使う」で発表しました #higobashiaws #akibaaws
AKIBA.AWS 第6回 ネットワーク基礎編：「VPN接続とルーティングの基礎」で発表しました #akibaaws
リモートワークの増加で需要が高まるAmazon WorkSpacesをゼロからざっくり理解する
WorkSpaces設計時に検討する認証に関する構成３パターン
ウェブアクセスWorkSpacesとAppStream 2.0はどう違う?
Cloudflare Accessで明日から必要なオンプレとクラウドへのリモートアクセス環境をいますぐ構築する

25. © 2020 Classmethod, Inc.
以上