Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
AWS Organizations で実現する、 マルチ AWS アカウントのルートユーザー管...
Search
atpons
January 30, 2025
Programming
1
430
AWS Organizations で実現する、 マルチ AWS アカウントのルートユーザー管理からの脱却
2025クラウドガバナンスはこう変わる!マルチアカウント運用のre:Invent最新情報と活用例 での発表資料です。
atpons
January 30, 2025
Tweet
Share
More Decks by atpons
See All by atpons
Securing Credentials for Package Manager and Bundler
atpons
0
120
コピペでQualys SSL Server Test A+ ゲットだぜ!
atpons
0
150
Other Decks in Programming
See All in Programming
Discover Metal 4
rei315
2
130
git worktree × Claude Code × MCP ~生成AI時代の並列開発フロー~
hisuzuya
1
570
AI時代のソフトウェア開発を考える(2025/07版) / Agentic Software Engineering Findy 2025-07 Edition
twada
PRO
87
29k
ソフトウェア品質を数字で捉える技術。事業成長を支えるシステム品質の マネジメント
takuya542
1
13k
Deep Dive into ~/.claude/projects
hiragram
14
2.5k
初学者でも今すぐできる、Claude Codeの生産性を10倍上げるTips
s4yuba
16
11k
ペアプロ × 生成AI 現場での実践と課題について / generative-ai-in-pair-programming
codmoninc
1
18k
Flutterで備える!Accessibility Nutrition Labels完全ガイド
yuukiw00w
0
160
#QiitaBash MCPのセキュリティ
ryosukedtomita
1
1.3k
GitHub Copilot and GitHub Codespaces Hands-on
ymd65536
2
150
Hack Claude Code with Claude Code
choplin
4
2.1k
チームのテスト力を総合的に鍛えて品質、スピード、レジリエンスを共立させる/Testing approach that improves quality, speed, and resilience
goyoki
5
880
Featured
See All Featured
How to Think Like a Performance Engineer
csswizardry
25
1.7k
I Don’t Have Time: Getting Over the Fear to Launch Your Podcast
jcasabona
32
2.4k
Art, The Web, and Tiny UX
lynnandtonic
299
21k
How To Stay Up To Date on Web Technology
chriscoyier
790
250k
Speed Design
sergeychernyshev
32
1k
Raft: Consensus for Rubyists
vanstee
140
7k
Fashionably flexible responsive web design (full day workshop)
malarkey
407
66k
A better future with KSS
kneath
238
17k
The Straight Up "How To Draw Better" Workshop
denniskardys
234
140k
Cheating the UX When There Is Nothing More to Optimize - PixelPioneers
stephaniewalter
281
13k
Visualization
eitanlees
146
16k
It's Worth the Effort
3n
185
28k
Transcript
AWS Organizations で実現する、 マルチ AWS アカウントのルートユーザー 管理からの脱却 2025クラウドガバナンスはこう変わる!マルチアカウント運用の re:Invent最新情報と活用例 2025/1/30
STORES 株式会社 テクノロジー部門 技術推進本部 浅野 大我
自己紹介 2 浅野 大我 (Taiga Asano) / @atpons STORES 株式会社
テクノロジー部門 技術推進本部 エンジニア 社内で利用するパブリッククラウドや SaaS を管理しています
STORES の事業 お店のデジタルを まるっとサポート。 個人や中小事業の方々に向けて、 お店のデジタル化をまるっと 実現できる価値を提供しています。
本日話すこと - STORES におけるAWS Organizations・IAM Identity Centerの現状 - STORES におけるルートユーザー管理の課題
- ルートユーザーの削除対応にあたって行ったこと - 導入後の変化 4
STORES におけるAWS Organizations・IAM Identity Centerの現状 5 - 10数個の AWS アカウントを運用中
- プロダクト、環境ごとに AWS アカウントが存在 - AWS Organizations による管理と IAM Identity Center によるシングル サインオンを導入済み - アカウントの払い出しが簡単、コスト管理がしやすい、セキュリティ設定が容易などの メリット 管理アカウント メンバーアカウントA メンバーアカウントB メンバーアカウントC SSO
STORES におけるAWS Organizations・IAM Identity Centerの現状 6 - IAM Identity Center
の権限セットやポリシーは、AWS アカウント横断で 技術推進本部が管理 - AWS Organizations / IAM Identity Center の設定は IaC で管理 - 必要に応じて各アカウント利用者にファイルに追記、削除してもらい、自動的に適用するこ とで、追加・削除はセルフサービスで実施 メンバーアカウントA 権限セットα 自動反映 追加/削除 技術推進本部管理
STORES におけるルートユーザー管理の課題 7 - IAM ユーザーは IAM Identity Center で運用出来ている!でも・・・
- ルートユーザーは IAM Identity Center の管理外 - 当然出来ることが多いので GuardDuty などによる監視も必要 - パスワードとMFAデバイスを技術推進本部で管理 - 利用者側での管理は不要な一方、アカウントが増えるにつれて管理が煩雑に 技術推進本部管理 アカウントA ルートユーザー アカウントB ルートユーザー ・・・ なんでも 出来る SSOできない ので管理大変
増えるアカウントとルートユーザーの管理に一筋の光 ルートアクセスの一元管理 が 2024/11/15 にリリース 8 https://aws.amazon.com/jp/about-aws/whats-new/2024/11/manage-root-access-aws-identity-access-management/ ・ルートユーザーの削除(新規作成時にルートユーザーも作成されない) ・ルートユーザーしかできない特権アクションの一部が管理アカウントから可能に うれしい
ルートユーザーの削除対応にあたって行ったこと - テスト用のメンバーアカウントで先にルートユーザーの削除を実施 (公開後 すぐ) - AWS コンソールでルートアクセスの一元管理のページを見ると IAM の
GetAccountSummary API が各アカウントに飛んでしまうことが判明 - 各アカウントで GuardDuty などで検知してしまうことが分かったので、事前に調整 - 削除後に対応できなくなる特権操作をしておく (3 日) - ルートアクセスの一元管理では非対応の特権操作がある - 後でルートユーザーを元に戻すことも可能だが、先に済ませておく - 今回はアカウントエイリアスの変更をしたいアカウントがあったので、先んじて対応した - 各アカウント管理者への連絡 (1-2 週間) - ルートユーザーのアクセスキーなどを利用していないか確認 9 2024/12/2 に AWS コンソールからルートユーザーの削除を実施!
導入後の変化 10 良かったこと - ルートユーザーのパスワード管理、MFA デバイスの管理が不要に! - 新規メンバーアカウントの払い出し時に、ルートユーザーの作成が不要に! 通知の変化 -
Security Hub の各セキュリティ基準の一部コントロール (Hardware MFA should be enabled for the root user) が失敗するようになってしまった - ルートアクセスの一元管理に対応できていなかったことが原因 - すべて削除しているので、コントロールの無効化を実施
まとめ 11 - STORES では AWS Organizations と IAM Identity
Center による効率化し たマルチアカウント管理を行っています - 一方、ルートユーザーは権限の大きさや MFA デバイスの管理が必要となって おり、課題となっていました - ルートアクセスの一元管理の有効化と、ルートユーザーの削除により、大幅に 管理コストを削減することができました AWS Organizations とルートアクセスの一元管理で、より楽な マルチアカウント管理をしていきましょう!