ぼくらのアカウント戦略〜マルチアカウントでのガバナンスと権限管理の全て〜

Mamoru Ohashi

More Related Content

1.Copyright © 2018 KDDI Corporation. All Rights Reserved©KADOKAWA CORPORATION 2018http://www.kadokawa-pictures.jp/official/sevendayswar/
2.Copyright © 2018 KDDI Corporation. All Rights Reserved2自己紹介大橋 衛（オオハシ マモル）KDDI株式会社 プラットフォーム開発本部社内API基盤戦略策定AWS社内エヴァ／クラウドコンサルアプリエンジニア12年インフラエンジニア4年クラウドエンジニア5年目(=AWS歴)NW-JAWSコアメンバー好きなAWSサービス：IAM/SNS/Lambda
3.Copyright © 2018 KDDI Corporation. All Rights ReservedQ.あなたの管理するAWSはシングルアカウント？それともマルチアカウント？
4.Copyright © 2018 KDDI Corporation. All Rights Reserved 4シングルアカウント vs マルチアカウントPros Consシングルアカウント❍ ガバナンスが利かせやすい❍ システム間連携が超ラク❍ 共通機能への接続も楽ちん❍ 毎月発生する利用費分割祭り（ラベル地獄）❍ ひとつのサービス利用制限が全システムに影響❍ きめ細かい権限設定ができないマルチアカウント❍ システム/部署毎に管理を委譲できる❍ 費用精算を部署ごとに括れる❍ アカウント毎にガバナンスを分けることも可能❍ アカウント数大爆発❍ ガバナンス領域とその範囲のバランス取りが難しい❍ ガバナンス更新時は全てのアカウントに反映する必要ありガバナンスの内容と利かせ方が判断のポイント
5.Copyright © 2018 KDDI Corporation. All Rights Reserved 5❍ 経費精算を部門ごとに実施する必要があった ラベル地獄コワイ 毎月精算処理とかやってられない❍ 環境毎に場所を分離しなければならないというルールがあった 「開発/検証/商用は物理的にラック/架列/電源系統/局舎を分離せよ」 物理環境をVPCじゃなくアカウントに読み替えた❍ 障害切り分けが容易になる 障害がどのシステムのどの環境で起きたのか一発で把握できる フォレンジクスもアカウント丸ごと凍結で可能に❍ そもそもシステム毎のアーキテクチャに類似性がない 実装要件が多岐に渡りすぎて機能制限をかけるのが難しい そもそもクラウドでアーキテクチャ制限を効かせる意味って何？KDDIがマルチアカウントを選んだ理由
6.Copyright © 2018 KDDI Corporation. All Rights Reserved 6AWSの「責任共有モデル」
7.Copyright © 2018 KDDI Corporation. All Rights Reserved 7AWSの「責任共有モデル」Audit LogManagement＋「情報セキュリティ対策」にフォーカス内部犯行の抑止と証拠保全を徹底化
8.Copyright © 2018 KDDI Corporation. All Rights Reserved 8アカウント管理責任共有モデルIdentity & AccessManagementIAM ポリシー設定rootアカウント管理費用管理基底ガバナンス適用IAM ポリシー設計IAM ユーザー管理利用部門管理部門Audit LogManagement監査証跡ログ保全AWSCloudTrail AWS IAMAWSAccount
9.Copyright © 2018 KDDI Corporation. All Rights Reserved 9マルチアカウント構成Billing MasterCommon ToolsGovernance ControllerVirtual Security RoomDevStg PrdLabDevStg PrdLabDevStg PrdLabSystem ASystem BSystem C・・・Management Accounts User Accounts
10.Copyright © 2018 KDDI Corporation. All Rights Reserved 10Billing MasterCommon ToolsGovernance ControllerVirtual Security RoomDevStg PrdLabDevStg PrdLabDevStg PrdLabSystem ASystem BSystem CManagement Accounts User AccountsUser Accounts：ユーザー向けアカウント群
11.Copyright © 2018 KDDI Corporation. All Rights Reserved 11❏ システム毎に最大４種類のアカウントを支給❏ 全アカウントに対し基底ガバナンス(後述)が設定される❏ 共通機能アカウントも作るのが世界標準らしい(DNSキャッシュ,NTP,認証,Private接続用GW,etc...)User AccountDevStg PrdLabSystem A開発商用ステージング評価/検証User AccountsCommon共通機能
12.Copyright © 2018 KDDI Corporation. All Rights Reserved 12Billing MasterCommon ToolsGovernance ControllerVirtual Security RoomDevStg PrdLabDevStg PrdLabDevStg PrdLabSystem ASystem BSystem CManagement Accounts User AccountsManagement Acounts：管理用アカウント群
13.Copyright © 2018 KDDI Corporation. All Rights Reserved 13Billing MasterCommon ToolsGovernance ControllerVirtual Security RoomManagement AccountsBilling Master：請求管理アカウント❍ いわゆる一括請求アカウント❍ 費用取纏めのみで個別案件の収容はなし❍ 各ユーザーアカウントへはViewBillingやViewUsageの権限を付与しているので利用費の閲覧は可能
14.Copyright © 2018 KDDI Corporation. All Rights Reserved 14Billing Master：請求管理アカウントBilling MasterManagement Accounts User Accounts一括請求処理• 利用状況管理• 利用費の閲覧(※自アカウントのみ)• 利用状況管理• 利用費の閲覧• 支払方法の指定(全アカウント)• 利用状況管理• 利用費の閲覧(※自アカウントのみ)
15.Copyright © 2018 KDDI Corporation. All Rights Reserved 15Billing MasterCommon ToolsGovernance ControllerVirtual Security RoomManagement AccountsGovernance Controller：ガバナンス制御アカウント❍ 全ユーザーアカウントへのガバナンス制御を専用で行う❍ ユーザーアカウント発行時に基底ガバナンスを適用する❍ CloudTrailログ集約❍ ガバナンス監視ツールココがキモ！少々ムズい！
16.Copyright © 2018 KDDI Corporation. All Rights Reserved 16❏ CloudTrailの有効化❏ パスワードポリシーの設定❏ Virtual Security Room(※後述)の設定❏ ガバナンス監視ツールの設定Governance Controller：基底ガバナンスの設定
17.Copyright © 2018 KDDI Corporation. All Rights Reserved 17Governance Controller：ガバナンス監視ツール
18.Copyright © 2018 KDDI Corporation. All Rights Reserved 18Governance Controller：ガバナンス監視ツールDynamoDBに登録されているアカウント毎の通知方法で通知①rootログイン検知通常は起き得ないrootログインの検知②IAMログイン連続失敗検知同一IAMユーザーが10分間に5回ログイン失敗したら検知③IAM設定変更通知想定外のIAM設定変更を検知④CloudTrailログ改竄検知想定外ユーザーによるCloudTrailログ保存先S3にへの更新イベントを検知
19.Copyright © 2018 KDDI Corporation. All Rights Reserved 19Governance Controller：ガバナンス監視ツール禁則ポリシーの強制適用「IAMユーザーの追加」「IAMユーザーのポリシー設定変更」を検知
20.Copyright © 2018 KDDI Corporation. All Rights Reserved 20下記アクションを禁止するポリシーをセット❏CloudTrail設定変更の変更❏Virtual Security Room設定の変更❏ガバナンス監視ツールの変更❏IAMポリシー/グループ/ロールへの変更(※Prdのみ)Governance Contoller：禁則ポリシー
21.Copyright © 2018 KDDI Corporation. All Rights Reservedで・・・結局何がどーなるの？
22.Copyright © 2018 KDDI Corporation. All Rights Reserved 22Governance Contoller：ユーザーができないこと想定異常に加え禁止項目の突破や運用者の内部犯行すらも検知／通知通知方法や通知先はアカウントやインシデントレベルにより切替が可能
23.Copyright © 2018 KDDI Corporation. All Rights Reserved 23User Account：S-in時の「権限の絞り込み」フローIn-DevelopmentIn-Development In-ServiceS-inPoC/Dev/StgアカウントPrdアカウントアクセス権限 In-Development In-ServiceSecurity統制リソース × ×IAMユーザー管理 ○ ○IAMグループ/ロール/ポリシー ○ ×システム用リソース ○ △(最小限)発行アカウント発行直後はガバナンス機能以外なんでもイジれる商用アカウントのみ、S-inのタイミングで最小限に絞り込まれる
24.Copyright © 2018 KDDI Corporation. All Rights Reserved 24Governance Contoller：商用環境でユーザーが出来ることユーザーが実行できる操作は所属するグループの「ロール」に依存グループの追加/削除やロール変更をするには管理部門への依頼が必要基底ポリシーグループ毎のロールIn-ServicePrdアカウントユーザー部門と協議の上、運用設計に合わせたグループと権限を設定
25.Copyright © 2018 KDDI Corporation. All Rights Reserved 25Billing MasterCommon ToolsGovernance ControllerVirtual Security RoomManagement AccountsVirtual Security Room：仮想セキュリティルームアカウント❍ アカウント管理者によるリモートアクセスを管理❍ 初期設定含め全てのユーザーアカウントへの作業はここを踏んでいく必要がある❍ セキュリティルームでの作業と同等のセキュリティレベルを確保できるようにしている
26.Copyright © 2018 KDDI Corporation. All Rights Reserved 26どちらも作業時に自動通知Virtual Security Room作業内容に応じたロールを初期設定＆仮想セキュリティルーム側のグループと信頼関係を結んでおくSwitchRoleして作業(マネコン/スクリプト共)作業内容に応じたグループを用意作業証跡ログ保存(入退室管理)踏み台からのみSSH可作業毎に所属するグループを切り替えIP制限IP制限+MFA常時OFF再起動時に最新版取得
27.Copyright © 2018 KDDI Corporation. All Rights Reserved 27Virtual Security RoomLab/Dev/Stg商用とその他で作業環境を分離全アカウントに対して全く同じロールセットが設定される信頼関係を結ぶ先の仮想セキュリティルームアカウントが環境毎に異なるPrd
28.Copyright © 2018 KDDI Corporation. All Rights Reserved 28Billing MasterCommon ToolsGovernance ControllerVirtual Security RoomManagement AccountsCommon Tools：共通ツール❍ アカウント管理者が利用／提供するサービスやツール類を配備❍ ホスト／システムはこの上で動かしており、それらをアカウント管理者やユーザーが利用するイメージ
29.Copyright © 2018 KDDI Corporation. All Rights Reserved 29EnterpriseCommon Tools
30.Copyright © 2018 KDDI Corporation. All Rights Reserved 30予算管理＆アラームツール「MADOKA」【主な機能】 １ユーザー複数アカウント対応 段階的Billingアラーム設定 連続通知抑止切替 現状＆しきい値グラフ表示【アーキテクチャ】 S3+Lambda+DynamoDB+SNS サーバレスなので細かいインフラ運用の考慮不要 予算設定はユーザー自身が管理
31.Copyright © 2018 KDDI Corporation. All Rights Reserved 31User Accounts：ユーザー向けアカウント群Billing MasterCommon ToolsGovernance ControllerVirtual Security RoomDevStg PrdLabDevStg PrdLabDevStg PrdLabSystem ASystem BSystem CManagement Accounts User Accounts
32.Copyright © 2018 KDDI Corporation. All Rights Reserved 32【参考】re:Port 2017 「AWS re:Invent参加レポート」https://www.slideshare.net/ohashimamoru/report-2017-2-aws-reinvent-2017/9公式動画より画像張替
33.Copyright © 2018 KDDI Corporation. All Rights Reserved 33• マルチなら中途半端にアカウントを共用しない• ユーザーアカウントは環境、管理アカウントは機能で分ける• ガバナンスは外部から制御• 監査証跡ログをユーザーから切り離し保全• 監査証跡ログは自動化に徹底利用• コード化しとけば全アカウントへの更新も一発• Organizationsでやったほうが絶対ラクまとめ
34.Copyright © 2018 KDDI Corporation. All Rights ReservedThank youforListening!