実例公開！ AWS IAM Identity Center権限管理 お手軽自動化

2025/06/30 TC3主催イベントでの登壇資料です
https://tc3.connpass.com/event/348419/

Transcript

1. 実例公開！ AWS IAM Identity Center権限管理 お手軽自動化 tc3-japan @_ezqy 2025/06/30 最新AI x 認証 技術勉強会
2. Ezaki Takaya / TC3 　@_ezqy Platform Engineering / DevOps / SRE
3. AWS IAM Identity Centerとは - シングルサインオン（SSO）機能 - 1度のアクセスで複数アカウントへアクセス - 柔軟なアクセス管理 - 細かく権限をカスタマイズ可能 - IDプロバイダーとの統合 - 外部IdPとの連携 (Google workspace, Okta等)
4. 弊社でのアクセス権限の管理/運用方法について - 弊社ではお客様や環境単位でAWSアカウントを分離しており AWSアカウントを作成したタイミングで 自動的に以下のAWS IAM Identity Centerのグループが作成されるようにしています （会社の規模的にあまり細かい権限制御はしていません） - <Account Name>-PowerUser （そのアカウントに対して割となんでもできる） - <Account Name>-ReadOnlyUser（そのアカウントに対してReadだけできる） - これらに必要に応じて管理者（私）がユーザーを追加していました
5. 当時の課題と方針 課題 - 権限付与や削除に管理者への依頼が必要 - 待ち時間がある - 管理者の負荷が高い - 再申請が面倒なので削除依頼をサボりがち 方針 - 工数はできるだけ少なく - 半日ぐらいで実現できるやつ - なのでセキュリティは程々に - その日誰が何をしているか分かればそれで良い
6. 処理概要 1. プロジェクトのリポジトリからWorkflowを実行 2. Github actionsから入力値のチェックをしたあとに指定 されたグループに対してユーザーを追加 3. Slackへ完了通知 4. Lambdaで毎晩全ての権限をまとめて削除
7. 1.Workflowを実行
8. 2.入力値チェック • ユーザー名/アカウント/ロールをinput として受け取る • 入力可能な値は事前に定義しておく • Workflow内でチェック
9. 3.ユーザー追加 • aws cliからユーザー追加 • 完了したらSlackへ通知
10. 改善点とまとめ 改善点（もっと安全にしたい場合） • AWS Cliを直接使うのではなくIaCで管理する • ユーザー単位で有効期限を管理し、期限を短くする • ユーザー単位で申請可能なアカウントや権限を管理する まとめ • マルチAWSアカウントの管理はIdentity Centerが便利 • プロジェクトの規模に応じてセキュリティ要件を決めよう