Lucidscale を使用して AWS からクラウドインフラストラクチャデータをインポートし、Lucidscale モデルで図を生成します。

Lucidscale で利用できる機能の詳細については、 Lucidscale プランの記事をご覧ください。

サポートされているリージョン、リソース、および回線

次のいずれかの AWS リージョンでホストされている AWS アカウントをインポートできます。

ap-northeast-1
ap-northeast-2
ap-northeast-3
ap-south-1
ap-southeast-1
ap-southeast-2
ca-central-1
eu-central-1
eu-north-1
eu-west-1
eu-west-2
eu-west-3
sa-east-1
us-east-1
us-east-2
us-west-1
us-west-2

Lucidscale は以下の AWS リソースをサポートしています。

ALB (Load Balancers v2, Target Groups, Target Health Description)
API Gateway (v1, v2)
AWS Managed Streaming for Kafka
Autoscaling (Groups, Launch Configurations)
CloudFront (Distributions)
CloudTrail
Curated data for Transit Gateway Routes and NACLS
Customer Gateway
DocumentDB
DynamoDB (Tables)
EC2 (Instances, NAT Gateways, Network ACLs, Route Tables, Security Groups, Subnets, Transit Gateway, Volumes, VPC Endpoints, VPC Peering Connections, VPCs, VPN Gateways)
ECS: This is located in a designated view called “ECS View”. The current functionality will provide a view of the clusters, services and tasks running in your environment. It also splits clusters into EC2 and Fargate containers.
EFS File System
EKS clusters
Elasticache
Elastic Network Interface
Elastisearch
ELBs (Load Balancers)
EMR
Glacier
Kinesis Data Streams
Kinesis Firehose
Lambda (Functions)
Network Firewalls
RDS (Clusters, Instances)
Redshift (Clusters)
Route 53
S3 (Buckets - Additional Metadata: roles, groups, etc.)
SNS (Topics, met)
SQS (Queues)
Step Functions
Transit Gateway Routes Metadata

Lucidscale では、メタデータ内で別のリソースを明示的に参照するリソース間に線を引くことができます。

Elastic Load Balancers (ELBs) to Auto Scaling Groups (ASGs) [ELB→ ASG]
ELBs to EC2 instances [ELB → EC2]
CloudFront Distributions to S3 Buckets [CloudFront → S3]
Application Load Balancers (ALBs) to EC2 [ALB → EC2]
VPC Peering Connections
Route 53 Hosted Zones to ELBs, S3 Buckets and CloudFront Distributions [Route 53 Hosted Zones → ELBs, S3, CloudFront]
SNS Topic to SQS Queue [SNS → SQS]
SQS Queue to Lambda Function [SQS → Lamba]
Transit Gateway to Peered Transit Gateway and Virtual Private Cloud (VPC) attachments [Transit Gateways → Transit Gateways, VPCs]
Route Table to Internet Gateways and NAT Gateways [Route table → Internet Gateways, NAT Gateways]
API Gateway to Lambda [API Gateway → Lambda]
VPN Connections via Transit gateway [Transit Gateway → VPN Connection → Customer Gateway]
VPN Connections via VPN gateway [VPN Gateway → VPN Connection → Customer Gateway]
HostedZones → ALBs

注: Lucidscale ビュー内でリソースを集計することを選択した場合、モデルに線を描画するには、リソースの集計を解除する必要があります。

AWSインフラストラクチャをインポートする

次の 4 つの方法のいずれかを使用して、AWS クラウドインフラストラクチャデータをインポートできます。

信頼できるアクセス: 適切なポリシーを持つクロスアカウント IAM ロールを提供します。これは 2 つのオプションから構成されます。
- 個々のアカウントからデータをインポートする
- 組織内のすべてのアカウントのインポートを一元管理します
シングルユース認証: 適切なポリシーが添付された IAM ユーザーの認証情報を入力します
ファイルのアップロード: AWS マシンで CLI スクリプトを実行してデータをローカルに取得し、生成された JSON ファイルを提供します。

各方法の詳細と、どの方法が自分のユースケースに最適かを判断するには、次の表を参照してください。

インポートタイプ	説明	スコープ	リソースサポート	データの更新
組織レベルの信頼できるアクセス	安全で長期的な再利用のために、組織レベルのクロスアカウント IAM ロールを Lucid に登録します。	単一の認証情報を登録することで、AWS 組織内のすべてのアカウントのインポートを一元管理します。	（1）この記事に記載されているサポートされているすべてのリソース。（2）クラウドインベントリ：モデルに手動で配置できる、マップされていないさまざまなリソース。	カスタムスケジュールに従って自動的に更新するか、1 回のクリックで手動で更新します。 Lucid はこれらの資格情報を保存するため、情報を再入力せずにデータを更新したり、新しいインポートを開始したりできます。
アカウントレベルの信頼できるアクセス	安全で長期的な再利用のために、アカウントレベルのクロスアカウント IAM ロールを Lucid に登録します。	個々の AWS アカウントごとに認証情報を登録します。	（1）この記事に記載されているサポートされているすべてのリソース。（2）クラウドインベントリ：モデルに手動で配置できる、マップされていないさまざまなリソース。	カスタムスケジュールに従って自動的に更新するか、1 回のクリックで手動で更新します。 Lucid はこれらの資格情報を保存するため、情報を再入力せずにデータを更新したり、新しいインポートを開始したりできます。
使い捨ての許可	IAM ユーザーキーまたは認証情報ファイルを Lucid にアップロードします。	個々の AWS アカウントへの 1 回限りのアクセス。	（1）この記事に記載されているサポートされているすべてのリソース。（2）クラウドインベントリ：モデルに手動で配置できる、マップされていないさまざまなリソース。	資格情報の詳細を再入力してデータを更新します。 Lucid は、将来の再利用のために IAM ユーザー認証情報を保存しません。
ファイルアップロード	AWS マシンで CLI スクリプトを実行してデータをローカルに取得し、生成された JSON ファイルを Lucid にアップロードします。	JSON ファイルごとに最大 5 つのアカウント。	この記事に記載されているサポートされているリソースに限定されます。	新しく生成された JSON ファイルをアップロードしてデータを置き換えます。

非常に大規模な環境で作業している場合は、クロスアカウントロールを使用する際にこの記事のアカウント設定セクションの情報を活用して、インポートするデータの量を減らしたり、Lucid が AWS に対して行う API 呼び出しの数を減らしたりしてください。Lucid は最大 50 件の同時インポートをサポートします。各インポートが完了したら、新しいインポートを開始できます。

Lucidscale モデルに AWS インフラストラクチャをインポートして視覚化するには、次の手順に従います。

Lucid ホームページに移動します。
ページの左側にあるナビゲーションメニューの下部にある[データハブ]をクリックします。
「AWS データのインポート」をクリックし、インポート方法を選択します。
- インポート方法を選択してインポートを完了すると、アカウントはデータハブの「AWS: インポートされたアカウント」セクションにデータソースとしてリストされます。
モデルを作成するアカウントの横にある3つのドットのメニューをクリックします。
[ 新しいモデルの作成] を選択します。
詳細を確認し、フィルターを追加して不要なリソースを除外します。
[ AWS モデルの作成] を選択します。

Lucidscale モデルは、Lucid アカウントのバックグラウンドで生成されます。完了すると、ページの右下に表示されるステータスモーダルを通じて通知されます。

新しいモデルを作成した直後に表示されるステータスモーダルからモデルを開くことができます。モデル(および以前に作成したモデル) は、生成後に Lucid ホームページの「文書」セクションにも保存され、アクセスできます。

modal_confirming_successful_creation_of_aws_lucidscale_model.png

詳細: Lucidscale モデルを作成したら、 AWS アーキテクチャを操作する方法については、こちらの記事をご覧ください。

組織レベルの信頼できるアクセス

AWS 組織全体のインフラストラクチャのインポートを一元管理するには、次の手順に従います。

注意: Lucid GovSuite 環境を使用している場合は、クロスアカウントロール経由でのみ AWS GovCloud アカウントをインポートできます。Lucid 商用環境は、クロスアカウントロールを介して AWS GovCloud アカウントにアクセスできません。詳細については、以下のFAQ セクションを参照してください。

組織レベルでインポートを管理するには、Lucid に新しいクロスアカウント IAM ロールを登録します。

Lucid ホームページに移動します。
ページの左側にあるナビゲーションメニューの下部にある[データハブ]をクリックします。
AWS データのインポートを選択します。
信頼できるアクセスを選択します。
認証情報のスコープの下で、「AWS 組織に接続」を選択します。
権限を自動的に設定するためのオプションを選択します。
- Terraformモジュールを使用する
- CloudFormation テンプレートを使用する

ロールを作成するための CloudFormation または Terraform メソッドを選択する

Terraform を使用して権限を自動的に設定するには、次の手順に従います。

「Terraform Registry で表示」をクリックして、権限を構成するための Lucid の Terraform モジュールにアクセスするか、このリンクを使用してモジュールに直接アクセスします。
モジュールレジストリページで、 [サブモジュール]をクリックして、必要な 3 つのサブモジュールに順番にアクセスします。
各サブモジュールの Readme ページの「使用方法」の指示に従って、モジュールを Terraform 構成コードに追加します。
- bastion-role サブモジュールと import-role サブモジュールの両方に external_id 値が必要です。Lucid タブに戻り、提供された外部 ID の横にある[コピー]をクリックして、この外部 ID の値を取得します。
- org-read-delegation サブモジュールには、オプションの account_id パラメータが含まれています。このパラメータに値が指定されていない場合、Terraform モジュールは Lucid とのインポートを調整するための新しい「要塞アカウント」を作成します。
- 記述されているとおり、org-read-delegation サブモジュールは、組織の構造をスキャンするための権限を要塞ロールに委任する ResourcePolicy をデプロイします。組織に ResourcePolicy をすでに作成している場合、デプロイは失敗します。代わりに、ここにリンクされている JSON ポリシーを既存の ResourcePolicy に追加します。
Terraform コードをデプロイし、Lucid のモジュールから含まれるリソースが作成されるのを待ちます。
選択した要塞アカウントの AWS コンソールの IAM セクションに移動し、作成されたクロスアカウントロールを見つけます。
役割の名前をクリックして、役割の概要ページに移動します。
「ロール ARN」の横にある文字列をコピーします。
Lucid タブに戻り、「クロスアカウントロールを Lucid に追加する」セクションまで下にスクロールします。提供されたフォームの「Bastion ロール ARN」フィールドにロール ARN を入力します。
Terraform コードを構成するときに MemberRoleName パラメータをカスタマイズした場合は、フォーム内のこの値も更新します。
必要に応じて、インポートの調整に使用される要塞ロールの「資格情報の表示名」に事前設定された値を更新します。この表示名は Lucid のデータハブで使用されるため、将来の使用や管理のために資格情報を見つけることができるようになります。
「次へ」をクリックして、クロスアカウントロールを Lucid に登録します。
ロールを選択し、 「次へ」をクリックします。
アカウントをインポートしてモデルを作成する手順に進みます。

CloudFormation を使用して権限を自動的に設定するには、次の手順に従います。

サードパーティの信頼できるアクセスを管理するために使用する組織内のアカウントを特定します。Lucid は、この「要塞アカウント」でクロスアカウントの役割を担い、インポートを調整します。
AWS コンソールで最初に提供された CloudFormation テンプレートを起動します。このテンプレートを使用して、要塞アカウントと各メンバーアカウントのインポート権限を構成します。
AWS コンソールの「スタックの作成」ページで、必要な各パラメータの値を入力します。
- MembersRootOrOrganizationalUnitId パラメータは、Lucid がインポートできる組織内のアカウントの範囲を制御します。組織内のすべてのアカウントのリソースデータをインポートできるようにするには、組織ルートの ID を入力します。単一の OU 内にネストされたアカウントのインポートのみを許可する場合は、その OU の ID を入力します。
「スタックの作成」をクリックし、デプロイが完了するまで待ちます。
Lucid タブに戻り、2 番目に提供された CloudFormation テンプレートを起動します。このテンプレートを使用すると、組織構造をスキャンして、要塞ロールがインポートするアカウントを識別できるようになります。
このテンプレートは、組織の構造をスキャンするための権限を要塞ロールに委任する ResourcePolicy をデプロイします。組織に ResourcePolicy をすでに作成している場合、この CloudFormation スタックの作成は失敗します。代わりに、ここにリンクされている JSON ポリシーを既存の ResourcePolicy に追加します。
選択した要塞アカウントの AWS コンソールの IAM セクションに移動し、作成されたクロスアカウントロールを見つけます。
役割の名前をクリックして、役割の概要ページに移動します。
「ロール ARN」の横にある文字列をコピーします。
Lucid タブに戻り、「クロスアカウントロールを Lucid に追加する」セクションまで下にスクロールします。提供されたフォームの「Bastion ロール ARN」フィールドにロール ARN を入力します。
最初の CloudFormation テンプレートを構成するときに MemberRoleName パラメータをカスタマイズした場合は、フォーム内のこの値も更新します。
必要に応じて、インポートの調整に使用される要塞ロールの「資格情報の表示名」に事前設定された値を更新します。この表示名は Lucid のデータハブで使用されるため、将来の使用や管理のために資格情報を見つけることができるようになります。
「次へ」をクリックして、クロスアカウントロールを Lucid に登録します。
ロールを選択し、 「次へ」をクリックします。
アカウントをインポートしてモデルを作成する手順に進みます。

注意:これらの CloudFormation テンプレートは、サービス管理権限を持つスタックセットを使用するように設定されています。現在、セルフマネージド権限を持つスタックセットを使用した CloudFormation セットアップはサポートされていません。

アカウントをインポートしてモデルを作成する

データハブにインポートするアカウントを選択します。
[次へ] をクリックします。
- このセクションの最後にある「アカウント構成」で詳しく説明されている手順を使用すると、インポートするリージョンを指定し、選択したリソースタイプまたはメタデータを選択解除してインポートから省略することができます。選択解除されたリソースタイプとメタデータは、アカウントから作成されたモデルにインポートまたは視覚化されません。
「AWS アカウントのインポート」をクリックします。

インポートが完了した後に AWS アカウントを視覚化するには:

データハブに戻ります。
新しいモデルの作成を選択します。
インポートしたアカウントを選択し、 「アカウントの選択」をクリックします。
詳細を確認し、フィルターを追加して不要なリソースを除外します。
[ AWS モデルの作成] を選択します。

Lucidscale モデルは、Lucid アカウントのバックグラウンドで生成されます。作成されたら、ページの右下に表示されるステータスメッセージで通知されます。

新しいモデルを作成した直後に表示されるステータスメッセージからモデルを開くことができます。モデル (および以前に作成したモデル) は、生成後に Lucid ホームページの「文書」セクションにも保存され、アクセスできます。

クロスアカウントロールを使用したアカウント設定

クロスアカウントロールを使用して AWS アカウントを Lucid Data Hub にインポートする場合、選択したリソースタイプまたはメタデータをインポートから省略するオプションがあります。これにより、関心のあるリソースタイプのみを視覚化できるようになり、場合によってはインポートの速度が向上します。選択解除されたリソースタイプとメタデータは、ダイアグラムにインポートまたは視覚化されません。

インポートに含まれるリソースを構成する

アカウントレベルの信頼できるアクセス

クロスアカウント IAM ロールを介して個々のアカウントの AWS インフラストラクチャをインポートし、Lucidscale モデルを作成するには、次の手順に従います。

アカウントレベルの信頼できるアクセスの場合、インポートする新しい AWS アカウントごとに個別のロールを作成する必要があります。これを行うには、「信頼できるアクセス」インポートページで[新しい資格情報の登録] を選択します。

Lucid で新しいクロスアカウント IAM ロールを登録します。

Lucid ホームページに移動します。
ページの左側にあるナビゲーションメニューの下部にある[データハブ]をクリックします。
AWS データのインポートを選択します。
信頼できるアクセスを選択します。
認証情報のスコープの下で、「個々の AWS アカウントに接続」を選択します。
新しい資格情報を登録するには、次のオプションから選択します。
- CloudFormationテンプレートを使用する
- 手動で作成

AWS の Lucidscale の新しいロールを作成するためのオプション.png

CloudFormation を使用して新しいロールを自動的に作成するには、次の手順に従います。

「読み取り専用アクセスを含める」が有効になっていることを確認します。
- この設定はデフォルトで有効になっており、リソースをインポートして Lucidscale モデル内で視覚化するための最適なサポートを提供します。
[ CloudFormation の起動 ] をクリックして新しいブラウザタブを開き、AWS アカウントにログインします。 Lucidブラウザのタブを開いたままにして、後で戻ることができるようにします。
「 スタックの作成」をクリックします。
スタックが作成されたら、[リソース] タブに移動し、[LucidscaleImportRole] を選択します。
クロスアカウントロールを Lucidscale に登録する手順に進みます。

AWS IAM コンソールで新しいロールを手動で作成するには、以下のステップに従います。

[ステップ 1: ロールの作成を開始する] で [ ロールの作成] を選択します。
- AWS アカウントに移動します。 Lucidブラウザのタブを開いたままにして、後で戻ることができるようにします。
- Lucidscale アカウントに関連付けられた一意の外部 ID が自動生成されます。これは、AWSのセキュリティ推奨事項に沿ったものです。
AWS で、[ 次へ: アクセス許可] をクリックします。
[アクセス許可の追加] ページで、読み取り専用アクセスポリシーを検索して選択します。
- この設定は Lucid ではデフォルトで有効になっており、作成された Lucidscale モデルですべてのリソースが正しく表示されるために必要です。
[Lucid] タブの [ステップ 2: カスタム権限を追加する] に戻り、[ 権限を コピー] をクリックして JSON テキストファイルをコピーします。
AWS の [ロールの作成] ページに戻り、[ ポリシーの作成] をクリックします。ポリシーを作成するための新しいブラウザータブが表示されます。
[ポリシーの作成] ページで、[JSON] タブに切り替え、[JSON] タブにコピーしたファイルを AWS コンソールに貼り付けます。
「 次へ: タグ」をクリックします。
必要に応じてポリシーにタグを追加し、[ 次へ: 確認] をクリックします。
ポリシーに名前と説明を付けます。
[ ポリシーの作成] をクリックします。
新しいクロスアカウントロールを作成していた前の [AWS] タブで、[更新] ボタンをクリックし、作成したポリシーの名前を検索します。
ポリシーを選択し、[ 次へ: タグ] をクリックします。
必要に応じて IAM タグをロールに追加し、[ 次へ: 確認] をクリックします。
ロールの名前と説明を入力し、[ ロールの作成] をクリックします。

データハブにクロスアカウントロールを登録する

役割の名前をクリックして、役割の概要ページに移動します。
「ロール ARN」の横にある文字列をコピーします。
[Lucid] タブに戻り、[新しい AWS アカウント] ページの [クロスアカウントロールを Lucidscale に追加する] セクションまで下にスクロールします。
文字列を「ロール ARN」フィールドに貼り付け、必要に応じて「認証情報の表示名」フィールドをカスタマイズし、 「次へ」をクリックしてクロスアカウントロールを登録します。
- 新しいロールが、使用した「ロール名」とともに [新しい AWS アカウント] ページに表示されます。
- クロスアカウントロールは、データハブの「AWS:保存された認証情報」セクションにも表示されます。
役割を選択し、[次へ] をクリックします。

アカウントのインポート とモデルの作成

データハブにインポートして Lucidscale モデルを生成するアカウントを選択します。
[次へ] をクリックします。
- このセクションの最後にある「アカウント設定」の手順に従って、インポートするリージョンを指定し、選択したリソースタイプまたはメタデータを選択解除することでインポートから除外できます。選択解除されたリソースタイプとメタデータは、アカウントから作成されたモデルにインポートまたはレンダリングされません。
[ AWS アカウントの インポート ] をクリックします。

インポートの完了後に AWS アカウントを見つけるには:

[+ 新規]をクリックします。
Lucidscale の上にカーソルを置き、[AWS] を選択します。
[ 新しいモデルの作成] を選択します。
詳細を確認し、除外する
フィルター
を追加する不要なリソース。
[ AWS モデルの作成] を選択します。

Lucidscale モデルは、Lucid アカウントのバックグラウンドで生成されます。ページの右下に表示されるステータスモーダルを通じてレンダリングされると、通知されます。

新しいモデルを作成した直後にレンダリングされるステータスモーダルからモデルを開くことができます。モデル (および以前に作成したモデル) も保存され、生成後にLucidホームページの「ドキュメント」セクションからアクセスできます。

詳細: レンダリング後の Lucidscale モデルで AWS アーキテクチャを操作する方法については、こちらの記事をご覧ください。

使い捨ての許可

IAM ユーザー認証情報を使用して AWS インフラストラクチャをインポートするには、以下のステップに従います。

Lucid ホームページに移動します。
ページの左側にあるナビゲーションメニューの下部にある[データハブ]をクリックします。
AWS データのインポートを選択します。
シングルユース認証を選択します。
AWS IAM コンソールで、含まれている権限を使用してカスタムポリシーを作成します。
既存または新しく作成した IAM ユーザーにアクセスし、「権限を追加」と「既存のポリシーを直接アタッチ」をクリックして、作成したカスタムポリシーを追加します。
最適なリソースサポートのために、選択した IAM ユーザーに AWS 管理の ReadOnlyAccess ポリシーをアタッチすることもできます。これを行うには、「権限の追加」ページで ReadOnlyAccess を検索して選択します。
IAM ユーザーの「セキュリティ認証情報」タブで、「アクセスキーの作成」をクリックして、認証情報または CSV ファイルを生成します。
Lucid タブに戻り、CSV ファイルをアップロードするか、生成された資格情報を入力します。
[次へ] をクリックします。
インポートするリージョンを指定し、選択したリソースタイプまたはメタデータを選択解除してインポートから省略することができます。選択解除されたリソースタイプとメタデータは、アカウントから作成されたモデルにインポートされず、モデルに含まれません。
[終了] をクリックします。

詳細: Lucidscale モデルを作成した後、 AWS アーキテクチャを操作する方法については、こちらの記事をご覧ください。

セキュリティに関する注意: Lucid は、AWS インフラストラクチャの初期スキャンを実行した後、AWS IAM 認証情報を保存しません。あなたの資格情報は標準的な暗号化方式を使用して当社のサーバーに転送されます。クライアントは AES-256 までの暗号化プロトコルをネゴシエートできます。データを更新するたびに認証情報を入力したくない場合は、Lucid では環境への「説明と一覧表示」アクセスのみを許可するクロスアカウントロールを保存できます (詳細は上記のセクションを参照)。

IAM ユーザーの作成

Lucidscale が AWS インフラストラクチャにアクセスするには、新しい IAM ユーザーの認証情報を Lucidscale に付与する必要があります。 AWS コンソールでこれらを作成する方法については、以下を参照してください。

Lucidscale の AWS インポート用のインラインポリシーを持つ IAM ユーザーを作成するには、以下のステップに従います。

AWS コンソールを開きます。
アイデンティティ・アクセスおよび管理(IAM)の「 ユーザー」セクションに移動します。
[ ユーザーの追加 ] をクリックし、ユーザーの名前を入力します。
- [アクセスキー - プログラムによるアクセス] の横にあるチェックボックスをオンにすると、Lucidscale がアクセスキーを使用してインフラストラクチャに関する情報を取得できるようになります。
[ 次へ: アクセス許可] をクリックします。
[ 既存のポリシーを直接アタッチする] を選択します。
[ ポリシーの作成 ] をクリックし、新しく開いたブラウザータブで [JSON ] ウィンドウに切り替えます。
Lucid データハブの [インポートされたアカウント] セクションで、[ + 新しいアカウント] をクリックします。
インポート方法のリストから [IAM ユーザー ] を選択します。
[次へ] をクリックします。
モーダルから json ポリシーファイルをコピーします。
JSON ポリシーファイルを AWS の[ポリシーの作成] ページの JSON ウィンドウに貼り付けます。
[ 次へ: タグ] をクリックします。
必要に応じて IAM タグをロールに追加し、[ 次へ: レビュー] をクリックします。
ポリシーに名前と説明を付けます。
[ ポリシーの作成 ] をクリックします。
新しいユーザーの作成を開始した前の IAM コンソールブラウザタブで、更新ボタンをクリックし、作成したポリシーの名前を検索します。
ポリシーを選択し、[ 次へ: タグ] をクリックします。
必要に応じて IAM タグをユーザーに追加し、[ 次へ: レビュー] をクリックします。
ユーザーの詳細を確認し、[ユーザーの作成] をクリックします。
[ .csvをダウンロード ] をクリックしてアクセスキー ID とシークレットアクセスキーを保存し、これらをコピーして貼り付けるか、csv を Lucidscale にアップロードします。
[次へ] をクリックします。
- インポートするリージョンを指定し、選択したリソースタイプまたはメタデータを選択解除することでインポートから除外できます。選択解除されたリソースタイプとメタデータはインポートされず、アカウントから作成されたモデルにも含まれません。
アカウントのエイリアス名を指定し、[ AWS アカウントのインポート] をクリックします。
- インポートが完了すると、[+ 新規] > [ 新規] [Lucidscale > AWS ]をクリックすると、アカウントがモーダルに「インポートされた」 AWS アカウントとして表示されます。
- アカウントは「AWS: インポートされたアカウント」セクションにデータハブがあります。
[ 新しいモデルの作成] を選択します。
モデルの詳細を確認し、 除外するフィルターを追加する 不要なリソース。
[ AWS モデルの作成] を選択します。

詳細: Lucidscale モデルが完成したら AWS アーキテクチャを操作する方法については、こちらの記事をご覧ください。

ファイルアップロード

CLI を使用して AWS インフラストラクチャをインポートするには、次の手順に従います。

Lucid ホームページに移動します。
ページの左側にあるナビゲーションメニューの下部にある[データハブ]をクリックします。
AWS データのインポートを選択します。
ファイルのアップロードを選択します。
提供されたスクリプトをコピーして、ターミナルのコマンドラインインターフェイスを使用して実行し、JSON ファイルを生成します。
- 詳細な手順については、以下のCLI スクリプトの手順を参照してください。
結果の JSON を Lucidscale にアップロードし、 「次へ」をクリックします。
インポートするアカウントに名前を付けて、 「次へ」をクリックします。
- 「+ 新規」>「Lucidscale」>「AWS」をクリックすると、アカウントはモーダルにインポートされた AWS アカウントとして表示されます。
- アカウントは、データハブの「AWS: インポートされたアカウント」セクションにも表示されます。
[ 新しいモデルの作成] を選択します。
詳細を確認し、フィルターを追加して不要なリソースを除外します。
[ AWS モデルの作成] を選択します。

Lucidscale モデルは、Lucid アカウントのバックグラウンドで生成されます。作成されたら、ページの右下に表示されるステータスモーダルを通じて通知されます。

新しいモデルを作成した直後に表示されるステータスモーダルからモデルを開くことができます。モデル (および以前に作成したモデル) は、生成後に Lucid ホームページの文書セクションにも保存され、アクセスできるようになります。

詳細: Lucidscale モデルを作成した後、 AWS アーキテクチャを操作する方法については、こちらの記事をご覧ください。

CLIスクリプトの説明

Python 3.0-3.9 をインストールします。
AWS CLI をインストールします。
pip3を実行してボトコア==1.27.77をインストールします。
AWS CLI を設定します (AWS の手順については、こちらを参照してください) 。
python3 awscliscript.py --profile "profile name" --regions us-east-1 us-west-1 を実行すると、aws.json ファイルが生成されます。
[ + 新規] をクリックします。
カーソルを Lucidscale の上に置いて [AWS] を選択します。
既存のアカウントのインポートを選択する
- また、「Open Data Hub」 をクリックし、 「AWS データをインポート」を クリックして、 「AWS CLI スクリプト」を選択することもできます。
aws.json ファイルを Lucidscale にアップロードし、[次へ] をクリックします。
インポートするアカウントに名前を付け、[次へ] をクリックします。
- このアカウントは、[ + 新規] > [Lucidscale > AWS ] をクリックすると、インポートされた
  AWS アカウントとしてモーダルに表示されます。
- アカウントは「AWS: インポートされたアカウント」セクションにデータハブがあります。
[ 新しいモデルの作成] を選択します。

詳細なCLIスクリプト手順

Python 3.0-3.9 をインストールします (手順については、こちらを参照してください)。インストーラーの Python を PATH に追加する オプションを必ずオンにしてください。
AWS CLI をインストールします (AWS の手順については、こちらを参照してください) 。
- 左側のパネルを使用して、「 AWS CLI のインストール」 や 「AWS CLI の設定」などの手順をクリックします。
pip3を実行して、botocoreバージョン1.27.77をpip3でインストールしますbotocore ==1.27.77をインストールします。
- Lucidscale - AWS は botocore バージョン 1.27.77 をベースに開発されましたが、別のバージョンがすでにインストールされている場合でも、インポートは機能します。機能しない場合は、異なるプロジェクトごとに個別のパッケージインストールを管理できる Python 仮想環境でスクリプトを実行することを検討してください。スクリプトを実行した後、仮想環境を削除できます。Python 仮想環境を作成する手順については、こちらを参照してください。
AWS CLI を設定します (AWS の手順については、こちらを参照してください) 。
- 名前付きプロファイル は、AWS CLI コマンドに適用できる設定と認証情報のコレクションです。
- aws configureを実行すると、入力した認証情報が default という名前のプロファイルに保存されます。複数のアカウントをお持ちの場合は、名前付きプロファイルを作成することをお勧めします。たとえば、 preprod と prod の 2 つのアカウントがあり、それらの認証情報を 2 つの別々のプロファイルとして保存している場合、 aws ec2 describe-instances -- profile preprod を実行することで、ec2 インスタンスを preprod で簡単に記述できます。製品でインスタンスを記述するために、 プロファイル 引数を aws ec2記述インスタンス-プロファイル製品に変更できます。
- AWS から名前付きプロファイルを設定する手順については、こちらをご覧ください。
- Lucidscale - AWS スクリプトでは、インポートするプロファイルの名前を指定する必要があります。
Lucidscale - AWS スクリプトを実行する
1. -c または --カウント
  - リソース数の詳細を含む JSON ファイルを出力します。このフラグを指定してスクリプトを実行すると、インポートスクリプトのパスが異なり、Lucidscale にアップロードできる JSON ファイルは出力されません - AWS
2. -a または --アノン
  - データを匿名化する(すべての文字列をハッシュする)
3. -o または --output
  - 指定されたファイル名にデータを出力します
4. -p または --profile
  - 使用する プロファイル の名前
5. -r または --regions
  - インポートするリージョン
    - (例) python3 awscliscript.py --プロファイル preprod --地域米国東部-1 米国西部-1
    - 上記のコマンドはスクリプトを実行し、 us-east-1 および us-west-1 の領域に存在する preprod プロファイル内のリソースのデータを生成します。
    - Lucidscale - AWS スクリプトには、使用できる追加のフラグがあります。
6. aws.json が出力として生成されます。このファイルを Lucidscale にアップロードして、インフラストラクチャを Lucid データハブにインポートします。
  - このアカウントは、[ + 新規] > [Lucidscale > AWS ] をクリックすると、インポートされた
    AWS アカウントとしてモーダルに表示されます。
  - アカウントは「AWS: インポートされたアカウント」セクションにデータハブがあります。
7. [モデルの作成 ] を選択します。

Lucidscale モデルは、Lucid アカウントのバックグラウンドで生成されます。完了すると、ページの右下に表示されるステータスメッセージで通知されます。

新しいモデルを作成した直後に表示されるステータスモーダルからモデルを開くことができます。モデル(および以前に作成したモデル) は、生成後に Lucid ホームページの文書セクションにも保存され、アクセスできます。

詳細: Lucidscale モデルが完成したら AWS アーキテクチャを操作する方法については、こちらの記事をご覧ください。

注意:

ウィンドウズユーザー:「ウィンドウズCMD」を使用してスクリプトコマンドを実行します
MacOS ユーザー: ターミナルを使用する

データハブを使用して AWS インフラストラクチャのデータと認証情報を管理する

インポートしたアカウントにアクセスする

AWS アカウントをインポートすると、 Data Hub の「AWS: インポートされたアカウント」セクションで指定したアカウント名のデータソースとして一覧表示されます。このセクションから、[ + 新しいアカウント ] をクリックして、新しいアカウントをデータハブにインポートすることもできます。

このセクションに記載されているアカウントは、新しい Lucidscale モデルの作成に使用できるデータソースです。データソース (以下「アカウント」) には、Lucidscale モデルの作成に使用される AWS アカウントメタデータが含まれています。 [最終更新日時] フィールドには、接続された AWS アカウントの更新に対応するためにデータソースが最後に更新された日時が示されます。

各アカウントのクラウドインベントリは、リストからアカウントを選択すると右側に表示されます。このインベントリを使用すると、モデルを作成する前にインポートされた各タイプのリソースの完全な数を確認できます。 [CSV のダウンロード] をクリックして、リソースとカウントの一覧を含む CSV をデータハブから直接ダウンロードすることもできます。

インベントリには、クロスアカウントロールに添付された権限ポリシーによってアクセスできるすべてのリソースがリストされます。 CloudFormation スタックテンプレートで「新しいロールを自動的に作成する」ことを選択した場合、AWS のReadOnlyAccess ポリシーによってアクセス可能なアカウント内のすべてのリソースがインベントリに表示されます。カスタムポリシーを使用して手動でロールを作成すると、添付されたアクセス許可ポリシーで指定されたリソースタイプのみがインベントリに表示されます。

アカウントにレンダリングされる3ドットのメニューをクリックすると 、新しいモデルの作成、AWS からのアカウントの更新、更新のスケジュール、リソースの編集、アカウント名の変更、アカウントの削除の 6 つのオプションが表示されます。

[新しいモデルの作成 ] は、アカウントに関連付けられた AWS インフラストラクチャを新しいモデルのワークスペースのダイアグラムとしてレンダリングし始めます。モデルは Lucid ホームページのバックグラウンドで生成され、ページの右下に表示されるステータスモーダルでレンダリングされると通知されます。

[AWS からアカウントを更新 し、更新のスケジュール] を使用すると、Data Hub にインポートした AWS アカウントデータを手動または自動で更新して、接続されている AWS アカウントの変更を反映できます。更新後にアカウントから作成された新しいモデルには、接続されているAWSアカウントの変更が反映されます。

詳細情報: AWS からのアカウントの更新について詳しくは、 Lucidscale でデータを更新して同期する記事をご覧ください。

[リソースの編集 ] では、各データセットに含まれるリソースを編集できます。既存のデータセットにリソースを追加または削除できるモーダルを開くには、このオプションを選択します。選択が完了したら、[ アカウントを保存して更新] をクリックします。これにより、データセットが更新され、そのデータセットを参照するモデルが最新の情報に更新されます。

[アカウント名の変更 ] では、選択したデータセットの名前を変更できます。

[アカウントの削除 ] では、インポートされたアカウントが Lucid Data Hub から削除され、そのアカウントから作成されたモデルは AWS からデータを更新できなくなります。

注: 上記のオプションは、アカウントで使用したインポート方法によって異なります。更新オプションは、AWS クロスアカウントロールのインポートでのみ使用できます。IAM および CLI インポートでは、このオプションはサポートされていません。

保存された資格情報の共有と削除

「Data Hub > AWS」の「保存された認証情報 」セクションには、AWS アカウントをデータハブにインポートするために使用できるクロスアカウントロールがリストされています。このセクションで、[ + 新しいクロスアカウントロール] をクリックして、AWS アカウントのインポートに使用できる新しい認証情報のセットを追加します。

作成したクロスアカウントロールを他のユーザーと共有することもできます。アカウントにレンダリングされた3つのドットのメニューをクリックすると、資格情報の共有 と 資格情報の削除の2つの潜在的なオプションが表示されます。

example_of_aws_saved_credentials_page_in_the_lucidscale_data_hub.png

[認証情報の共有 ] はモーダルを開き、メールアドレスを指定することで、Lucid アカウントの別のユーザーとクロスアカウントロールを共有できます。認証情報へのアクセス権を付与すると、関連する AWS アカウントをデータハブにインポートし、 Lucidscale モデルを作成できるようになります。資格情報が別のユーザーと共有された後、同じモーダルで電子メールアドレスの横にある [X] をクリックして、資格情報へのアクセスを取り消すことができます。

[認証情報の削除 ]は、データハブからクロスアカウントロールを削除します。認証情報を削除すると、その認証情報を使用して以前にインポートされたすべてのアカウントと、それらのアカウントから作成されたモデルは、AWS からデータを更新できなくなります。

詳細情報: 資格情報を共有できるのは、自分が所有するデータハブのみです。Creator ライセンスが割り当てられた Lucidscale ユーザーのみが、アカウントのインポートとモデルの作成を行うことができます。詳しくは、 Lucidscale での認証情報の管理、使用方法、セキュリティに関する記事をご覧ください。

セキュリティに関する情報

クロスアカウントロール

クロスアカウントロールは、アカウントへの第三者アクセスを許可するための AWS からの推奨方法です。この方法により、Lucidscale は認証情報を安全に保存できるため、ダイアグラムを簡単に更新できます。詳細については、次のリソースを参照してください。

強制外部 ID

AWS が提供するセキュリティのベストプラクティスに従って、Lucid は外部 ID が Lucid のデータベース内で一意であることを強制します。したがって、Lucid はユーザーに一意の外部 ID を提供し、ユーザーが独自の外部 ID を入力することを禁止します。

IAM ユーザーのセキュアで制限されたアクセス

作成する IAM ユーザーに対して、制限付きの「説明」レベルのアクセス許可をリクエストします。これらのアクセス許可で作成された IAM ユーザーは、AWS インフラストラクチャの設定を変更したり、データベースのデータを読み取ったりすることはできません。 IAM ユーザーは、AWS インフラストラクチャの構造メタデータを読み取るためにのみ使用されます。

代替手段としての CLI スクリプト

AWS インフラストラクチャスキャン中に実行するアクションを確認および制御する場合は、IAM ユーザーを作成する代わりに、提供されている Python スクリプトをダウンロードして使用できます。このシナリオでは、IAM 認証情報が Lucidscale に渡されることはなく、メタデータを Lucidscale にアップロードする前に、環境内で実行されるコードと結果のメタデータの両方を確認できます。インポートされた JSON は、Lucid データハブでアクセスでき、Lucidscale モデルの作成に使用できます。

ドキュメント(モデル)の安全な保管

Lucidscale 、機密データに対する業界標準の保護を使用して、AWS にインポートされたメタデータと生成されたモデルを保存します。インポートされた AWS データはLucidscaleモデルの一部として埋め込まれているため、 Lucidの標準共有権限を使用してデータへのアクセスを制御できます。文書を保護する方法の詳細については、コンテンツセキュリティページを参照するか、営業チームにお問い合わせください。

アクセスキーを保管しない

Lucidscale は、AWS インフラストラクチャの初期スキャンの実行後に AWS IAM 認証情報を保存することはありません。お客様の資格情報は、標準の暗号化方法を使用してサーバーに転送されます。クライアントは、AES-256 までの暗号化プロトコルをネゴシエートできます。お客様の環境への「説明とリスト」アクセスのみを提供するクロスアカウントロールを保存できます。

よくある質問 (FAQ)

Lucidscale を購入した後、アカウントのすべてのユーザーにアクセス権が付与されますか?

既存の Lucid のお客様 (現在 Lucidchart または Lucidspark サブスクリプションをお持ちの場合) は、ライセンス設定によっては、アカウントのすべてのユーザーにデフォルトで Lucidscale へのアクセス権がない可能性があります。アカウント管理者は、Lucidchart や Lucidspark と同様に、管理者用パネルの [ユーザー] セクションから購入した Lucidscale ライセンスを個々のユーザーまたはグループに割り当てる必要がある場合があります。 Lucidscale Team サブスクリプションのみを持つ (現在の Lucidchart や Lucidspark サブスクリプションがない) アカウントに追加されたユーザーには、購入したライセンスに応じて、クリエイターライセンスまたはエクスプローラーライセンスが自動的に割り当てられます。ライセンスを付与する方法については、 Lucid 管理パネル: ライセンス設定の記事をご覧ください。

Lucidscale はどのようにして AWS 環境にアクセスするのですか? Lucidscale にはどのレベルのアクセス権がありますか?

Lucidscale と AWS が推奨する方法は、クロスアカウントロールを使用することです。お客様の環境への「説明と一覧表示」アクセスを提供するポリシーを提供して、リソースのインベントリを取得できます。 Lucidに保存されている認証情報には、Lucid アカウントからのみアクセスできます。このインポート方法では、1回の操作でアカウントのデータを更新できます。私たちが提供するアクセス許可ポリシーを使用すると、クロスアカウントロールが AWS にリクエストするためにアクセスできるデータを正確に決定できます。

IAM ユーザーメソッドを使用する場合、認証情報はまったく保存されず、一度使用されて破棄されます。通常、ユーザーはこのインポート方法をAWSの一時的な認証情報と一緒に使用しますが、この方法では追加のデータ更新はできません。

JSONファイルを生成するコマンドラインインターフェイス(CLI)を介して実行できるPythonスクリプトを使用するメソッドもあります。 JSON ファイルを生成した後、ユーザーはコンテンツを確認し、必要に応じてインポート前にデータを削除できます。ユーザーはこの JSON ファイルを Lucidscale にアップロードでき、認証情報を Lucidscale に入力することはできません。

Lucidscale Commercial と Lucidscale for Gov は、クロスアカウントロールでインポートする場合、どのように相互作用しますか?

製品の機能はそれぞれ同じですが、AWS ではこれら 2 つの環境に対して異なる方法でセキュリティを設定します。 AWS IAM ロールとリソースベースのポリシーは、1 つのパーティション内のアカウント間でのみアクセスを委任します。 Lucid GovSuite は別の AWS パーティションにあるため、GovCloud 以外の AWS アカウントからクロスアカウントロールを介して AWS データをインポートすることはできません。推奨されるインポート方法であるクロスアカウントロールでは、同じタイプのアカウントへのアクセスのみが許可されるため、Lucid 商用環境の場合はクロスアカウントロールを介して商用 AWS クラウドアカウントにアクセスしてインポートでき、Lucid GovSuite 環境を使用している場合はクロスアカウントロールを介して AWS GovCloud アカウントにアクセスしてインポートできます。

商用 AWS アカウントを Lucidscale for Gov にインポートする機能は、IAM ユーザーまたは CLI スクリプトから作成された JSON を使用してサポートされています。

Lucidscale はどのような API にアクセスできますか?

主に説明とリストAPIエンドポイントを使用します。

インポートするメタデータ ([データ] パネルに表示されるフィールドと値) を選択できますか? そうでない場合、どのメタデータがインポートされますか?

いいえ、現在、インポートするメタデータを選択することはできません。ただし、将来的にはそれを行うための機能を作成しようとしています。記述 API 呼び出しからのすべてのメタデータがインポートされます。

この記事へのフィードバックをお寄せください

この記事に関するフィードバックはありますか？体験の内容についてこちらから教えてください。

関連記事