mcpField
A
aws-networking

aws-networking

github.com/awsクラウド・DevOps3.3k6.0k 回インストール今日更新
リポジトリ

aws-networking について

AWS ネットワークリクエストをサービス別スキルへ振り分けるルーティングスキルです。DNS、コンテンツ配信、ハイブリッド接続、ネットワークセキュリティを扱い、対象外のサービスも明示します。

主な機能

  1. 01意味に基づくリクエストの振り分け
  2. 02複数サービスのスキル引き継ぎ順序
  3. 03接続性とトラフィックフィルタリングの区別
  4. 04複数スキルに該当する依頼の確認
  5. 05対象外のネットワークサービスの特定
  6. 06関連するセキュリティとログの注意喚起

活用シーン

  1. 01DNS や CloudFront の依頼先の特定
  2. 02ハイブリッド接続に使うスキルの選択
  3. 03WAF と DDoS 対策ニーズの切り分け
  4. 04スキルセット対象外のネットワーク作業の識別

MCP 対応

AWS MCP server と組み合わせると、サンドボックス実行、監査ログ、エンタープライズ制御を利用できます。標準の AWS CLI にも対応し、利用可能な場合は aws___retrieve_skill で対象スキルを取得します。

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/aws/agent-toolkit-for-aws --skill aws-networking

インストール後、Claude Code で/aws-networkingを入力して読み込まれたか確認します。

詳細

AWS Networking

概要

ネットワークに関するリクエストを、適切なサービス固有のスキルに振り分けます。DNS とコンテンツ配信、ハイブリッド接続、ネットワークセキュリティ（ウェブアプリケーションファイアウォールと DDoS 保護）にまたがる 7 つのサービスを対象としています。その他の AWS ネットワーキングサービス（VPC の基礎、負荷分散、エンドポイント、PrivateLink、API Gateway など）は、このルーターの対象外です（ステップ 6 を参照）。

最適な組み合わせ：AWS MCP server をご利用ください。サンドボックスでの実行、監査ログ、エンタープライズ向けの制御が可能になります。標準的な AWS CLI アクセスでも、すべてのガイダンスを利用できます。

このスキルの使用方法

  1. ユーザーのリクエストを、以下の スキル振り分け表 と照合します。完全に同じ表現かどうかではなく、意味に基づいて判断してください。
  2. リクエストが複数のスキルに該当する場合は、クロスサービスの概念表を使用して、リクエストが対象とするレイヤーを特定し、そのレイヤーを担当するスキルに振り分けます。
  3. それでも曖昧な場合は、次の確認質問を 1 つだけ尋ねます。「接続を設定したいですか。それとも、既存のトラフィックを制御・フィルタリングしたいですか？」
  4. 対象のスキルを読み込みます。AWS MCP server が利用可能な場合は、aws___retrieve_skill(skill_name="<skill>") を使用します。それ以外の場合は、このリポジトリの skills/<skill>/SKILL.md からスキルのドキュメントを取得します。
  5. リクエストがこれらのスキルのうち複数にまたがる場合は、依存関係の順に各スキルへ振り分けます。インターネット向けサービス（cloudfront）に振り分ける場合は、ユーザーが L7 フィルタリングと DDoS 保護についてまだ対応していなければ、DDoS 保護のために shieldadvanced に、L7 フィルタリングのために waf にも振り分けます（AWS WAF は CloudFront、Application Load Balancer、API Gateway、AppSync にアタッチされます）。接続性に関するスキル（directconnect、sitetositevpn、transitgateway）に振り分ける場合は、通信中の暗号化が考慮されていることを確認します（Direct Connect では MACsec、VPN では IPsec、Transit Gateway ではリージョン間ピアリングの暗号化）。cloudfront でカスタムドメインまたは TLS を扱う場合は、ACM 証明書のプロビジョニングが実装に含まれることを伝えます。ウェブ向けディストリビューションについて cloudfront に振り分ける場合は、対象のスキルで CloudFront Response Headers Policy を使用したセキュリティレスポンスヘッダー（CSP、HSTS、X-Frame-Options、X-Content-Type-Options）への対応が必要であることも伝えます。管理ポリシーの SecurityHeadersPolicy も含めます。設定は対象のスキルで扱います。
  6. リクエストがスキル振り分け表に記載されていない AWS ネットワーキングのタスクの場合（例：VPC サブネットやルートテーブル、セキュリティグループ、ロードバランサー、VPC エンドポイント、PrivateLink、API Gateway）は、そのサービスがこのスキルセットでは利用できないことをユーザーに伝え、最も近いスキルには振り分けないでください。このスキルセットは、すべての AWS ネットワーキングサービスを対象としているわけではありません。
  7. このスキルの役割はトリアージであり、実装ではありません。このスキルだけを使って、サービス固有の設定に関する質問に回答しないでください。

接続性とセキュリティ

観点接続性セキュリティ
確認することトラフィックは宛先に到達できますか？トラフィックを許可すべきですか？
障害の症状タイムアウト、到達不能、ブラックホール拒否、許可されない、破棄
依存関係ポリシーとは独立しています — 経路が存在するか、しないかです接続性が存在することを前提とし、到達可能なトラフィックのみをフィルタリングできます
粒度経路上のすべてのフローに影響します一致条件に基づいて特定のフローを対象にします

スキルルーティング表

スキル次の場合に選択します…
transitgateway2 つを超える VPC またはオンプレミスネットワークをハブで接続する場合、ルーティングのセグメンテーション、大規模なクロスアカウント／クロスリージョン接続、集中型のアウトバウンド通信／検査、マルチキャスト
directconnectオンプレミスへの専用プライベートリンク — 安定したレイテンシ、高スループット、MACsec 暗号化、LAG、複数 VPC 向けの Direct Connect Gateway、サイト間バイパス用の SiteLink、本番環境のハイブリッドワークロード
sitetositevpnインターネット経由の暗号化された IPsec トンネル — 迅速なセットアップ、DX のバックアップ、静的または BGP ルーティング、Global Accelerator バックボーン経由の高速化オプション、標準または大容量のトンネル帯域幅
route53DNS 管理（パブリック／プライベートゾーン、レコード）、ヘルスチェック、ルーティングポリシー（加重、フェイルオーバー、地理的位置、レイテンシー）、ドメイン登録、Resolver（ハイブリッド DNS 転送）、DNS Firewall、Route 53 Profiles、Global Resolver
cloudfrontキャッシュ、エッジでの TLS 終端、オリジン保護（OAC）、カスタムドメイン、キャッシュポリシー／ビヘイビア、署名付き URL、CloudFront Functions、ビューワー mTLS、VPC オリジン、マルチテナントディストリビューション
wafウェブアプリケーションファイアウォール（L7） — CloudFront／ALB／API Gateway／AppSync 上のウェブ ACL、AWS Managed Rules、HTTP フラッド向けのレートベースルール、IP／地域の照合、Bot Control、Fraud Control（アカウントの乗っ取り／作成）、エクスプロイト、ボット、認証情報の詰め込み攻撃からウェブアプリと API を保護する場合
shieldadvancedインターネットに公開されているリソース向けの L3／L4 DDoS 保護、WAF による自動アプリケーション層（L7）緩和、ヘルスベースの検出、Shield Response Team へのアクセス、DDoS コスト保護クレジット

サービス横断の概念

同じ概念でも、レイヤーによってサービスが異なります。スキルルーティング表で複数のスキルが該当する場合は、これらを使って選択してください。

フィルタリング／ブロック

ユーザーが「ブロック」「拒否」「フィルタリング」「トラフィックを制限」と言った場合に使用します。フィルタリングがどのレイヤーで行われるかを判断します。

レイヤーサービスフィルタリング対象スキル
L7（HTTP／HTTPS、ウェブアプリと API）AWS WAFHTTP リクエスト属性、AWS Managed Rules、レートベースルールとボットルール、IP／地域の照合waf
L3／L4（DDoS の大量トラフィック／状態枯渇）Shield Advancedインターネットに公開されているリソースへのネットワーク層／トランスポート層 DDoS フラッドshieldadvanced
DNS（名前解決）Route 53 DNS Firewallドメイン名のパターン — トラフィックではなく、名前解決をブロックしますroute53

インターネットに公開されている API またはウェブサイトについて waf または cloudfront にルーティングする場合、WAF のレートベースルールは、ユーザーからの要求があった場合に限らず、デフォルトの保護策として扱ってください。対象スキルがクライアントごとのリクエスト量を制限する WAF のレートベースルールを追加するよう伝えてください。実装は対象スキルが行います。

ログ／可視性

ユーザーが「ログ」「可視性」「何がブロックされているか」「トラフィックを確認できるか」と言った場合に使用し、確認すべきログソースを特定します。

確認したい内容サービスログの種類スキル
VPC からの DNS クエリRoute 53 Resolverクエリログroute53
ブロック／許可された HTTP リクエストAWS WAFウェブ ACL ログ（S3、CloudWatch Logs、または Kinesis Data Firehose）waf
DDoS イベントと攻撃の詳細Shield AdvancedCloudWatch メトリクス、DDoS イベント検出shieldadvanced
エッジ／CDN のリクエストアクセスCloudFront標準ログ（S3）、リアルタイムログ（Kinesis Data Streams）cloudfront
トンネルの状態とトラフィックSite-to-Site VPNトンネルテレメトリ、CloudWatch メトリクスsitetositevpn

これらのサービスのいずれかにルーティングする場合は、セキュリティの可視性とインシデント対応のため、該当するログ（上記）を有効にするようユーザーに案内してください。実装は対象スキルが行います。これらのログには機密データ（リクエストのクエリ文字列、DNS クエリ内の内部ホスト名など）が含まれることがあります。そのため、ログの保存先（S3、CloudWatch Logs、Kinesis Data Firehose、または Kinesis Data Streams）で保存時の暗号化を有効にし、承認された担当者のみにアクセスを制限する必要があることも伝えてください。実装は対象スキルが行います。

トラフィックシフト

ユーザーが「トラフィックをシフト」「ブルー/グリーン」「フェイルオーバー」「カナリア」「重み付けルーティング」と言ったときに使用します — 粒度と、それを制御するサービスを決定します。

粒度サービスメカニズムスキル
DNS レベル (グローバル)Route 53重み付け、フェイルオーバー、地理位置情報、レイテンシールーティングroute53
エッジ (HTTP)CloudFrontオリジンフェイルオーバー、オリジングループcloudfront

セキュリティに関する考慮事項

これらのサービスはセキュリティ上重要であるため、どのスキルに引き継ぐかに関わらず、ルーティング時には関連するリスクと制御を提示してください — 対象のスキルがその制御を実装します。

リスク対象スキルが対応すべき制御スキル
転送中の暗号化されていないトラフィックMACsec (directconnect)、IPsec トンネル (sitetositevpn)、リージョン間ピアリングの暗号化 (transitgateway)、TLS 終端とビューアー mTLS (cloudfront)directconnect、sitetositevpn、transitgateway、cloudfront
インターネット公開リソースにおける DDoS 対策の欠如Shield Advanced の L3/L4 保護と WAF の L7 緩和shieldadvanced、waf
Web/API の攻撃、ボット、リクエストフラッドWAF Web ACL、AWS マネージドルール、レートベースルール。アプリケーション層の入力検証 (リクエストボディのサイズ制限、スキーマ検証)。セキュリティレスポンスヘッダーwaf、cloudfront
過度に寛容なフィルタリングルール最小権限の DNS Firewall ドメインブロッキングroute53
サービスリソースに対する過剰な権限の IAM ポリシー特定のリソースとアクションにスコープを限定した最小権限の IAM ロール。FullAccess マネージドポリシーや Action: * を避ける。長期間有効なアクセスキーを持つ IAM ユーザーよりも、一時的な認証情報を用いる IAM ロール (インスタンスプロファイル、IRSA、タスクロール、sts assume-role) を優先するすべて
ハードコードされた認証情報と共有シークレットサポートされている場合は AWS にシークレットを自動生成させる (たとえば Site-to-Site VPN の事前共有キー)。または、顧客管理のシークレットをハードコードするのではなく AWS Secrets Manager に保存するsitetositevpn、directconnect
クロスサービスリソースポリシーにおける混乱した代理 (confused-deputy)S3 バケットポリシー、KMS キーポリシー、ログ送信先リソースポリシー (CloudFront OAC、S3/CloudWatch Logs/Kinesis へのログ配信) に aws:SourceArn や aws:SourceAccount の条件キーを含め、意図したリソースとアカウントだけがそれらを呼び出せるようにするcloudfront、waf、すべて
インシデント対応のための可視性の不足ログ記録 / 可視性の表にあるサービスのログ記録を有効にし、保存時の暗号化とログ送信先へのアクセス制限を行うすべて
コントロールプレーンの変更に対する監査証跡やアラートの欠如AWS CloudTrail を有効にしてコントロールプレーンの API 呼び出し (レコード、ルール、ポリシー、ファイアウォールの変更) を監査し、セキュリティに関連するイベント (Shield Advanced の DDoS 検知、WAF のブロック/カウントの急増、予期しないルールやレコードの変更) に対して CloudWatch アラームを設定する。アラーム通知を受け取る SNS トピックを許可された担当者に制限し、それらのトピックで保存時の暗号化 (SSE-KMS) を有効にする。通知には機密性の高いイベントの詳細が含まれる可能性があるためすべて

正式なガイダンスについては、AWS Well-Architected Framework セキュリティの柱 と、対象スキルのサービス固有のセキュリティドキュメントをユーザーに案内してください。

コメント

Markdown 対応