# AWS CLI を使用した Shield の例 次のコード例は、Shield で AWS Command Line Interface を使用してアクションを実行し、一般的なシナリオを実装する方法を示しています。 *アクション*はより大きなプログラムからのコードの抜粋であり、コンテキスト内で実行する必要があります。アクションは個々のサービス機能を呼び出す方法を示していますが、コンテキスト内のアクションは、関連するシナリオで確認できます。 各例には完全なソースコードへのリンクが含まれており、コードの設定方法と実行方法に関する手順を確認できます。 **Topics** + [アクション](#actions) ## アクション ### `associate-drt-log-bucket` 次のコード例は、`associate-drt-log-bucket` を使用する方法を示しています。 **AWS CLI** **Amazon S3 バケットへのアクセス許可を DRT に付与するには** 次の `associate-drt-log-bucket` の例では、DRT と指定された S3 バケットの間に関連付けを作成します。これにより、DRT はアカウントに代わってバケットにアクセスできるようになります。 ``` aws shield associate-drt-log-bucket \ --log-bucket flow-logs-for-website-lb ``` このコマンドでは何も出力されません。 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[DDoS 対応チームの承認](https://docs.aws.amazon.com/waf/latest/developerguide/authorize-DRT.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[AssociateDrtLogBucket](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/associate-drt-log-bucket.html)」を参照してください。 ### `associate-drt-role` 次のコード例は、`associate-drt-role` を使用する方法を示しています。 **AWS CLI** **お客様に代わって攻撃を軽減する権限を DRT に付与するには** 次の `associate-drt-role` の例では、DRT と指定されたロールの間に関連付けを作成します。DRT は、ロールを使用してアカウントへのアクセスやアカウント管理をすることができます。 ``` aws shield associate-drt-role \ --role-arn arn:aws:iam::123456789012:role/service-role/DrtRole ``` このコマンドでは何も出力されません。 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[DDoS 対応チームの承認](https://docs.aws.amazon.com/waf/latest/developerguide/authorize-DRT.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[AssociateDrtRole](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/associate-drt-role.html)」を参照してください。 ### `create-protection` 次のコード例は、`create-protection` を使用する方法を示しています。 **AWS CLI** **1 つの AWS リソースに対する AWS Shield Advanced 保護を有効にするには** 次の `create-protection` の例では、指定された AWS CloudFront 配信の Shield Advanced 保護を有効にします。 ``` aws shield create-protection \ --name "Protection for CloudFront distribution" \ --resource-arn arn:aws:cloudfront::123456789012:distribution/E198WC25FXOWY8 ``` 出力: ``` { "ProtectionId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111" } ``` 詳細については、「*AWSShield Advanced デベロッパーガイド*」の「[保護するリソースの指定](https://docs.aws.amazon.com/waf/latest/developerguide/ddos-choose-resources.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[CreateProtection](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/create-protection.html)」を参照してください。 ### `create-subscription` 次のコード例は、`create-subscription` を使用する方法を示しています。 **AWS CLI** **アカウントの AWS Shield Advanced 保護を有効にするには** 次の `create-subscription` の例では、アカウントの Shield Advanced 保護を有効にします。 ``` aws shield create-subscription ``` このコマンドでは何も出力されません。 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[AWS Shield Advanced の使用開始](https://docs.aws.amazon.com/waf/latest/developerguide/getting-started-ddos.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[CreateSubscription](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/create-subscription.html)」を参照してください。 ### `delete-protection` 次のコード例は、`delete-protection` を使用する方法を示しています。 **AWS CLI** **AWS リソースから AWS Shield Advanced 保護を削除するには** 次の `delete-protection` の例では、指定された AWS Shield Advanced 保護を削除します。 ``` aws shield delete-protection \ --protection-id a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 ``` このコマンドでは何も出力されません。 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[AWS リソースから AWS Shield Advanced 保護を削除する](https://docs.aws.amazon.com/waf/latest/developerguide/remove-protection.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[DeleteProtection](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/delete-protection.html)」を参照してください。 ### `describe-attack` 次のコード例は、`describe-attack` を使用する方法を示しています。 **AWS CLI** **攻撃の詳細な説明を取得するには** 次の `describe-attack` の例では、指定された攻撃 ID を持つ DDoS 攻撃の詳細情報を表示します。`list-attacks` コマンドを実行すると、攻撃 ID を取得できます。 ``` aws shield describe-attack --attack-id a1b2c3d4-5678-90ab-cdef-EXAMPLE22222 ``` 出力: ``` { "Attack": { "AttackId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222", "ResourceArn": "arn:aws:elasticloadbalancing:us-west-2:123456789012:loadbalancer/testElb", "SubResources": [ { "Type": "IP", "Id": "192.0.2.2", "AttackVectors": [ { "VectorType": "SYN_FLOOD", "VectorCounters": [ { "Name": "SYN_FLOOD_BPS", "Max": 982184.0, "Average": 982184.0, "Sum": 11786208.0, "N": 12, "Unit": "BPS" } ] } ], "Counters": [] }, { "Type": "IP", "Id": "192.0.2.3", "AttackVectors": [ { "VectorType": "SYN_FLOOD", "VectorCounters": [ { "Name": "SYN_FLOOD_BPS", "Max": 982184.0, "Average": 982184.0, "Sum": 9821840.0, "N": 10, "Unit": "BPS" } ] } ], "Counters": [] }, { "Type": "IP", "Id": "192.0.2.4", "AttackVectors": [ { "VectorType": "SYN_FLOOD", "VectorCounters": [ { "Name": "SYN_FLOOD_BPS", "Max": 982184.0, "Average": 982184.0, "Sum": 7857472.0, "N": 8, "Unit": "BPS" } ] } ], "Counters": [] }, { "Type": "IP", "Id": "192.0.2.5", "AttackVectors": [ { "VectorType": "SYN_FLOOD", "VectorCounters": [ { "Name": "SYN_FLOOD_BPS", "Max": 982184.0, "Average": 982184.0, "Sum": 1964368.0, "N": 2, "Unit": "BPS" } ] } ], "Counters": [] }, { "Type": "IP", "Id": "2001:DB8::bcde:4321:8765:0:0", "AttackVectors": [ { "VectorType": "SYN_FLOOD", "VectorCounters": [ { "Name": "SYN_FLOOD_BPS", "Max": 982184.0, "Average": 982184.0, "Sum": 1964368.0, "N": 2, "Unit": "BPS" } ] } ], "Counters": [] }, { "Type": "IP", "Id": "192.0.2.6", "AttackVectors": [ { "VectorType": "SYN_FLOOD", "VectorCounters": [ { "Name": "SYN_FLOOD_BPS", "Max": 982184.0, "Average": 982184.0, "Sum": 1964368.0, "N": 2, "Unit": "BPS" } ] } ], "Counters": [] } ], "StartTime": 1576024927.457, "EndTime": 1576025647.457, "AttackCounters": [], "AttackProperties": [ { "AttackLayer": "NETWORK", "AttackPropertyIdentifier": "SOURCE_IP_ADDRESS", "TopContributors": [ { "Name": "198.51.100.5", "Value": 2024475682 }, { "Name": "198.51.100.8", "Value": 1311380863 }, { "Name": "203.0.113.4", "Value": 900599855 }, { "Name": "198.51.100.4", "Value": 769417366 }, { "Name": "203.1.113.13", "Value": 757992847 } ], "Unit": "BYTES", "Total": 92773354841 }, { "AttackLayer": "NETWORK", "AttackPropertyIdentifier": "SOURCE_COUNTRY", "TopContributors": [ { "Name": "United States", "Value": 80938161764 }, { "Name": "Brazil", "Value": 9929864330 }, { "Name": "Netherlands", "Value": 1635009446 }, { "Name": "Mexico", "Value": 144832971 }, { "Name": "Japan", "Value": 45369000 } ], "Unit": "BYTES", "Total": 92773354841 }, { "AttackLayer": "NETWORK", "AttackPropertyIdentifier": "SOURCE_ASN", "TopContributors": [ { "Name": "12345", "Value": 74953625841 }, { "Name": "12346", "Value": 4440087595 }, { "Name": "12347", "Value": 1635009446 }, { "Name": "12348", "Value": 1221230000 }, { "Name": "12349", "Value": 1199425294 } ], "Unit": "BYTES", "Total": 92755479921 } ], "Mitigations": [] } } ``` 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[DDoS インシデントを確認する](https://docs.aws.amazon.com/waf/latest/developerguide/using-ddos-reports.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[DescribeAttack](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/describe-attack.html)」を参照してください。 ### `describe-drt-access` 次のコード例は、`describe-drt-access` を使用する方法を示しています。 **AWS CLI** **DRT がお客様に代わって攻撃を軽減するために必要な許可の説明を取得するには** 次の `describe-drt-access` の例では、DRT が持つロールと S3 バケット許可を取得し、お客様に代わって攻撃の可能性に対応できるようにします。 ``` aws shield describe-drt-access ``` 出力: ``` { "RoleArn": "arn:aws:iam::123456789012:role/service-role/DrtRole", "LogBucketList": [ "flow-logs-for-website-lb" ] } ``` 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[DDoS 対応チームの承認](https://docs.aws.amazon.com/waf/latest/developerguide/authorize-DRT.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[DescribeDrtAccess](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/describe-drt-access.html)」を参照してください。 ### `describe-emergency-contact-settings` 次のコード例は、`describe-emergency-contact-settings` を使用する方法を示しています。 **AWS CLI** **DRT に登録されている緊急 E メールアドレスを取得するには** 次の `describe-emergency-contact-settings` の例では、DRT に登録されているアカウントの E メールアドレスを取得します。これらは、疑わしい攻撃に応答しているときに DRT が問い合わせるアドレスです。 ``` aws shield describe-emergency-contact-settings ``` 出力: ``` { "EmergencyContactList": [ { "EmailAddress": "ops@example.com" }, { "EmailAddress": "ddos-notifications@example.com" } ] } ``` 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「AWS Shield の仕組み」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[DescribeEmergencyContactSettings](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/describe-emergency-contact-settings.html)」を参照してください。 ### `describe-protection` 次のコード例は、`describe-protection` を使用する方法を示しています。 **AWS CLI** **AWS Shield Advanced 保護の詳細を取得するには** 次の `describe-protection` の例では、指定された ID を持つ Shield Advanced 保護の詳細情報を表示します。`list-protections` コマンドを実行すると、保護 ID を取得できます。 ``` aws shield describe-protection \ --protection-id a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 ``` 出力: ``` { "Protection": { "Id": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111", "Name": "1.2.3.4", "ResourceArn": "arn:aws:ec2:us-west-2:123456789012:eip-allocation/eipalloc-0ac1537af40742a6d" } } ``` 詳細については、「*AWSShield Advanced デベロッパーガイド*」の「[保護するリソースの指定](https://docs.aws.amazon.com/waf/latest/developerguide/ddos-choose-resources.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[DescribeProtection](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/describe-protection.html)」を参照してください。 ### `describe-subscription` 次のコード例は、`describe-subscription` を使用する方法を示しています。 **AWS CLI** **アカウントの AWS Shield Advanced 保護の詳細を取得するには** 次の `describe-subscription` の例では、アカウントに提供される Shield Advanced 保護の詳細情報を表示します。 ``` aws shield describe-subscription ``` 出力: ``` { "Subscription": { "StartTime": 1534368978.0, "EndTime": 1597613778.0, "TimeCommitmentInSeconds": 63244800, "AutoRenew": "ENABLED", "Limits": [ { "Type": "GLOBAL_ACCELERATOR", "Max": 1000 }, { "Type": "ROUTE53_HOSTED_ZONE", "Max": 1000 }, { "Type": "CF_DISTRIBUTION", "Max": 1000 }, { "Type": "ELB_LOAD_BALANCER", "Max": 1000 }, { "Type": "EC2_ELASTIC_IP_ALLOCATION", "Max": 1000 } ] } } ``` 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[AWS Shield の仕組み](https://docs.aws.amazon.com/waf/latest/developerguide/ddos-overview.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[DescribeSubscription](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/describe-subscription.html)」を参照してください。 ### `disassociate-drt-log-bucket` 次のコード例は、`disassociate-drt-log-bucket` を使用する方法を示しています。 **AWS CLI** **DRT がお客様に代わって Amazon S3 バケットにアクセスする許可を削除するには** 次の `disassociate-drt-log-bucket` の例では、DRT と指定された S3 バケットの間の関連付けを削除します。このコマンドが完了すると、DRT はアカウントに代わってバケットにアクセスすることができなくなります。 ``` aws shield disassociate-drt-log-bucket \ --log-bucket flow-logs-for-website-lb ``` このコマンドでは何も出力されません。 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[DDoS 対応チームの承認](https://docs.aws.amazon.com/waf/latest/developerguide/authorize-DRT.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[DisassociateDrtLogBucket](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/disassociate-drt-log-bucket.html)」を参照してください。 ### `disassociate-drt-role` 次のコード例は、`disassociate-drt-role` を使用する方法を示しています。 **AWS CLI** **お客様に代わって DRT が攻撃を軽減する権限を削除するには** 次の `disassociate-drt-role` の例では、DRT とアカウントの間の関連付けを削除します。この呼び出し後、DRT はアカウントにアクセスしたり、アクセスを管理したりできなくなります。 ``` aws shield disassociate-drt-role ``` このコマンドでは何も出力されません。 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[DDoS 対応チームの承認](https://docs.aws.amazon.com/waf/latest/developerguide/authorize-DRT.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[DisassociateDrtRole](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/disassociate-drt-role.html)」を参照してください。 ### `get-subscription-state` 次のコード例は、`get-subscription-state` を使用する方法を示しています。 **AWS CLI** **アカウントの AWS Shield Advanced サブスクリプションの現在の状態を取得するには** 次の `get-subscription-state` の例では、アカウントの Shield Advanced 保護の状態を取得します。 ``` aws shield get-subscription-state ``` 出力: ``` { "SubscriptionState": "ACTIVE" } ``` 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[AWS Shield の仕組み](https://docs.aws.amazon.com/waf/latest/developerguide/ddos-overview.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[GetSubscriptionState](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/get-subscription-state.html)」を参照してください。 ### `list-attacks` 次のコード例は、`list-attacks` を使用する方法を示しています。 **AWS CLI** **AWS Shield Advanced から攻撃の概要を取得するには** 次の `list-attacks` の例では、指定された期間中の指定された AWS CloudFront 配信の攻撃の概要を取得します。応答には、攻撃の詳細情報を取得するために `describe-attack` コマンドに提供できる攻撃 ID が含まれます。 ``` aws shield list-attacks \ --resource-arns arn:aws:cloudfront::12345678910:distribution/E1PXMP22ZVFAOR \ --start-time FromInclusive=1529280000,ToExclusive=1529300000 ``` 出力: ``` { "AttackSummaries": [ { "AttackId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111", "ResourceArn": "arn:aws:cloudfront::123456789012:distribution/E1PXMP22ZVFAOR", "StartTime": 1529280000.0, "EndTime": 1529449200.0, "AttackVectors": [ { "VectorType": "SYN_FLOOD" } ] } ] } ``` 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[DDoS インシデントを確認する](https://docs.aws.amazon.com/waf/latest/developerguide/using-ddos-reports.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[ListAttacks](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/list-attacks.html)」を参照してください。 ### `list-protections` 次のコード例は、`list-protections` を使用する方法を示しています。 **AWS CLI** **AWS Shield Advanced から保護の概要を取得するには** 次の `list-protections` の例では、アカウントで有効になっている保護の概要を取得します。 ``` aws shield list-protections ``` 出力: ``` { "Protections": [ { "Id": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111", "Name": "Protection for CloudFront distribution", "ResourceArn": "arn:aws:cloudfront::123456789012:distribution/E198WC25FXOWY8" } ] } ``` 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[保護するリソースの指定](https://docs.aws.amazon.com/waf/latest/developerguide/ddos-choose-resources.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[ListProtections](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/list-protections.html)」を参照してください。 ### `update-emergency-contact-settings` 次のコード例は、`update-emergency-contact-settings` を使用する方法を示しています。 **AWS CLI** **DRT に登録される緊急 E メールアドレスを定義するには** 次の `update-emergency-contact-settings` の例では、攻撃が疑われる場合に DRT が応答で問い合わせる 2 つの E メールアドレスを定義します。 ``` aws shield update-emergency-contact-settings \ --emergency-contact-list EmailAddress=ops@example.com EmailAddress=ddos-notifications@example.com ``` このコマンドでは何も出力されません。 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[AWS Shield の仕組み](https://docs.aws.amazon.com/waf/latest/developerguide/ddos-overview.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[UpdateEmergencyContactSettings](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/update-emergency-contact-settings.html)」を参照してください。 ### `update-subscription` 次のコード例は、`update-subscription` を使用する方法を示しています。 **AWS CLI** **アカウントの AWS Shield Advanced サブスクリプションを変更するには** 次の `update-subscription` の例では、アカウントの AWS Shield Advanced サブスクリプションの自動更新を有効にします。 ``` aws shield update-subscription \ --auto-renew ENABLED ``` このコマンドでは何も出力されません。 詳細については、「*AWS Shield Advanced デベロッパーガイド*」の「[AWS Shield の仕組み](https://docs.aws.amazon.com/waf/latest/developerguide/ddos-overview.html)」を参照してください。 + API の詳細については、「*AWS CLI コマンドリファレンス*」の「[UpdateSubscription](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/shield/update-subscription.html)」を参照してください。