利用可能： Enterprise（Accelerate ライセンス）
Miro の AWS Cloud View アプリを使うと、AWS アカウントからデータを取り込み、AWS インフラストラクチャの図を生成できます。
✏️（Enterprise）CloudView インテグレーションは Accelerate ライセンスでのみ利用可能です。詳しくは Enterprise ライセンスについて をご確認ください。
この図を生成する方法は 2 つあります：
- クロスアカウントロールの紐付け: Miro と AWS アカウントをクロスアカウントロールで接続し、AWS アカウントを自動的に可視化します
- JSON ファイルのアップロード: AWS CLI (Command Line Interface) でスクリプトを実行して生成した JSON ファイルをアップロードします
クロスアカウントロールの紐付け
Miro はクロスアカウントロールを使って、AWS アカウントに安全にアクセスします。Miro がアクセスするために、AWS アカウント内に ReadOnly ロールを作成する必要があります。作成したロールの ARN を使って、Miro を AWS アカウントに接続できます。
次の手順に従って AWS Cloud View アプリを使用します:
- Miro のツールバー下部にあるツール、メディア、インテグレーション（+）アイコンをクリックし、AWS Cloud Viewを検索します。
- 検索結果からアプリを起動します。
- モーダルダイアログで、クロスアカウント ロールをリンクタブを選択します。
クロスアカウント ロールのリンク - ダイアログの手順に従って、AWS コンソールで新しいクロスアカウント ロールを作成します。
- AWS でロールを作成したら、ロール ARN フィールドにそのロールの ARN を入力します。
AWS で ARN フィールドを見つける場所 - 追加する新しい AWS アカウントに名前を付けます。
- 「追加してインポート」をクリックします。
- 追加した AWS アカウントは、アカウント一覧の次のステップに表示されます。
AWS アカウントを選択 - 可視化するアカウントを選択し、次へをクリックします。
- 可視化するリージョンを選択します。複数のリージョンを選択すると、可視化の処理が遅くなることがあります。
インポートするリージョンを選択 -
次の画面で、リソースの種類またはタグを使って、必要に応じてダイアグラムにフィルターを適用してください。（ダイアグラム作成後でも、コンテキストメニューからフィルターを適用・編集できます。）
💡 フィルターを使ってダイアグラムのサイズを小さくしましょう。ダイアグラムが小さいほど、生成が速く、扱いやすくなります。
このステップでは、2 種類のフィルターを適用できます：
- リソース: 例：その AWS アカウント内の EC2 インスタンスのみを表示するには、「EC2 Instances」を選択します。
- タグ: AWS リソースにタグが付いている場合、リソースのフィルターに加えてタグ（キーと値のペア）フィルターを使用できます。例えば、タグキー「Owner」で検索し、値に「CheckoutStream」を選択します。
- 可視化をクリックしてダイアグラムを作成します
AWS アカウントのダイアグラムが生成されます。
Cloud View アプリで生成された AWS インフラストラクチャのダイアグラムの例
JSON ファイルのアップロード
AWS CLI（コマンドラインインターフェイス）でスクリプトを実行し、読み取り専用の権限を使ってクラウドリソースのデータを安全に JSON ファイルに保存できます。
Miro 上で AWS Cloud View を使って AWS インフラを可視化すると、作成された図に対して接続線の追加や付箋などの図形・オブジェクトの追加といった編集を行ったり、AWS Cost Calculator アプリを使って新しい設計が生むコストを確認したりできます。
JSON ファイルを使って AWS Cloud View アプリを利用するには、次の手順に従ってください：
- Miro のツールバー下部にあるツール、メディア、インテグレーション（+）アイコンをクリックし、AWS Cloud Viewを検索します。
- アプリを起動します。
- モーダルダイアログの指示に従い、AWS でスクリプトを実行するための環境を設定します。
JSON ファイルのアップロード
✏️ 続行する前に、お使いの端末にNode.jsとAWS CLI（コマンドラインインターフェイス）がセットアップされている必要があります。
- ターミナルで AWS のプロフィールを選択します。
- コマンドをコピーしてターミナルで実行します。
コピーしたコマンドをターミナルで実行します - AWS リソースのデータを含む JSON ファイルが生成されます。
- Miro の同じモーダルダイアログで JSON ファイルをアップロードします。
- Miro が AWS インフラストラクチャの可視化図を生成します。
Cloud View アプリで生成された AWS インフラの図の例
💡 Miro の Cloud View アプリ内で、AWS アイコンの色を直接変更できます。このオプションは 2025 年以前のアイコンでは利用できません。
よくある質問
セキュリティー
お客様が Miro にアクセス権を付与するための新しい AWS ロールを作成する際は、Cloud View のモーダルに表示されるリンクを使用します。このリンクには Account ID と External ID の両方が含まれます。External ID は内部 ID と Miro が管理するシークレットキーを一方向の暗号方式で組み合わせて生成され、各 Miro 組織に固有の External ID が割り当てられるため、お客様の組織外の第三者がその ID を使用して AWS インフラにアクセスすることはできません。
External ID は AWS が管理する仕組みで生成されるハッシュであり、接続がお客様の Miro 組織に限定されることを保証します。
Role ARN の割り当て
External ID に加え、ユーザーは作成したロールのRole ARNを割り当てて AWS 環境に接続し、リソースをスキャンする必要があります。Role ARN の割り当ては完全にお客様の責任であり、AWS の管理者が管理します。管理者は誰に Role ARN を割り当てるかを決定できるため、ロールへのアクセスを制御できます。同じ Role ARN は複数の Miro ユーザーに割り当てることができ、Role ARN と該当する Miro 組織の両方に割り当てられたユーザーは AWS 環境に接続できます。ただし、このアクセスは各認証プロセスで External ID を検証することで、特定の Miro 組織に厳格に限定されます。
お客様のセキュリティーに関する責任
Cloud View を利用する際に AWS リソースのセキュリティーを維持するため、以下の責任事項にご留意ください：
- 組織メンバーの制限: 幅広いアクセスを付与する場合は、クラウド可視化専用の Miro 組織をアカウント内に作成することをおすすめします。組織メンバー数を制限することで、特定の許可されたユーザーのみが機密性の高いクラウド情報にアクセスできるようにできます。
- ロール ARN の割り当てに注意: 大規模な Miro 組織にアクセス権を付与する場合は、作成したロールの ARN をどのように割り当てるかに注意してください。ARN はアクセスが必要なユーザーのみに割り当ててください。どのように割り当てるかはお客様の判断です。例えば、小規模な Miro 組織には広めのアクセスを許可し、テスト用の AWS アカウントでは大規模な Miro 組織に対するアクセスを制限する、といった運用が考えられます。
これらの対策を実施し、Miro の安全なアクセス基盤を活用すれば、安心して Cloud View で AWS リソースを管理できます。
クロスアカウントロールの紐付け
- Athena 名前付きクエリ
- Auto Scaling グループ
- CloudTrail トレイル
- CloudWatch メトリクスアラーム
- CloudWatch メトリクスストリーム
- DynamoDB テーブル
- EC2 インスタンス
- EC2 VPC
- EC2 VPC エンドポイント
- EC2 サブネット
- EC2 ルートテーブル
- EC2 インターネット ゲートウェイ
- EC2 NAT ゲートウェイ
- EC2 トランジット ゲートウェイ
- EC2 ボリューム
- EC2 ネットワーク ACL
- EC2 VPN ゲートウェイ
- EC2 ネットワーク インターフェイス
- ECS リソース
- EFS ファイルシステム
- ElastiCache クラスター
- ELBv2 ロードバランサー
- ELBv2 ターゲットグループ
- ELBv1 ロードバランサー
- EKS クラスター
- Lambda 関数
- RedShift クラスター
- RDS インスタンス
- RDS クラスター
- RDS Proxy
- Route 53 ホストゾーン
- S3 バケット
- SNS トピック
- SQS キュー
JSON アップロード
必要に応じて、ロールにカスタムポリシーを設定して Miro を特定のリソースやリージョンに限定できます。Miro はデフォルトでこのページに記載されているリソースをスキャンします。カスタムポリシーを設定している場合、スクリプトはアクセス権のある範囲内のみをスキャンします。
アプリをインフラに対して実行すると、リソースをスキャンしている間に一時的にサービスのクォータを使用します。リソースのスキャンは、新しい AWS アカウントをリンクしたときや、AWS CLI スクリプトを実行して JSON 出力を生成したときに発生します。通常は、既に負荷が高い時間帯を避けてインフラをスキャンすることをおすすめします。
または、AWS CLI スクリプト実行時に--call-rate-rpsを使用して、1 秒あたりのリクエスト数を抑えることができます。例えば、--call-rate-rps 1 を指定するとサービスへのリクエストは 1 秒に 1 回に制限され、利用の公平性が保たれます。
スクリプトには指数的バックオフ戦略が組み込まれており、失敗したリクエストを再試行する際に待機時間を徐々に長くしていきます。これは AWS が推奨する標準的な方法です。