実例公開！ AWS IAM Identity Center権限管理お手軽自動化

実例公開！ AWS IAM Identity Center権限管理お手軽自動化 tc3-japan @_ezqy 2025/06/30 最新AI
x 認証技術勉強会

Ezaki Takaya / TC3 　@_ezqy Platform Engineering / DevOps /
SRE

AWS IAM Identity Centerとは - シングルサインオン（SSO）機能 - 1度のアクセスで複数アカウントへアクセス - 柔軟なアクセス管理
- 細かく権限をカスタマイズ可能 - IDプロバイダーとの統合 - 外部IdPとの連携 (Google workspace, Okta等)

弊社でのアクセス権限の管理/運用方法について - 弊社ではお客様や環境単位でAWSアカウントを分離しており AWSアカウントを作成したタイミングで自動的に以下のAWS IAM Identity Centerのグループが作成されるようにしています（会社の規模的にあまり細かい権限制御はしていません） -
<Account Name>-PowerUser （そのアカウントに対して割となんでもできる） - <Account Name>-ReadOnlyUser（そのアカウントに対してReadだけできる） - これらに必要に応じて管理者（私）がユーザーを追加していました

当時の課題と方針課題 - 権限付与や削除に管理者への依頼が必要 - 待ち時間がある - 管理者の負荷が高い - 再申請が面倒なので削除依頼をサボりがち
方針 - 工数はできるだけ少なく - 半日ぐらいで実現できるやつ - なのでセキュリティは程々に - その日誰が何をしているか分かればそれで良い

処理概要 1. プロジェクトのリポジトリからWorkﬂowを実行 2. Github actionsから入力値のチェックをしたあとに指定されたグループに対してユーザーを追加 3. Slackへ完了通知 4.
Lambdaで毎晩全ての権限をまとめて削除

1.Workﬂowを実行

2.入力値チェック • ユーザー名/アカウント/ロールをinput として受け取る • 入力可能な値は事前に定義しておく • Workﬂow内でチェック

3.ユーザー追加 • aws cliからユーザー追加 • 完了したらSlackへ通知

改善点とまとめ改善点（もっと安全にしたい場合） • AWS Cliを直接使うのではなくIaCで管理する • ユーザー単位で有効期限を管理し、期限を短くする • ユーザー単位で申請可能なアカウントや権限を管理するまとめ
• マルチAWSアカウントの管理はIdentity Centerが便利 • プロジェクトの規模に応じてセキュリティ要件を決めよう

実例公開！ AWS IAM Identity Center権限管理お手軽自動化

実例公開！ AWS IAM Identity Center権限管理お手軽自動化

ezqy

More Decks by ezqy

Other Decks in Technology

Featured

Transcript