Upgrade to Pro — share decks privately, control downloads, hide ads and more …

20201114 GCPUG Shonan

02f940926caaa16d4657150117fc6438?s=47 Taisei Ito
November 14, 2020

20201114 GCPUG Shonan

02f940926caaa16d4657150117fc6438?s=128

Taisei Ito

November 14, 2020
Tweet

Transcript

  1. 難しいIAM #GCPUG Shonan 20.11.14 Taisei Ito

  2. 自己紹介 • 伊藤 太斉(Taisei Ito) ◦ @kaedemalu(Twitter, Github) ◦ フューチャー株式会社

    ▪ Technology Innovation Group / DX Unit ◦ コンサルタント&インフラエンジニア ◦ #GCP #Terraform • Community ◦ GCPUG Shonan Staff ◦ CloudNative Days Committee
  3. IAM(Role)の運用難しい

  4. IAMの運用の難しいところ • 意外と「ちょうどいい」がない ◦ 必要十分なものがない • だからといってCustom Roleも面倒 ◦ 追加→足りない→追加の「いたちごっこ」

    • プロジェクト立ち上げのときに毎回考える問題
  5. お品書き • Primitive Role vs. Predefined Role • Custom Role

    • まとめ
  6. Primitive Role vs. Predefined Role 1

  7. Primitive Role • Owner ◦ ヒトにおける権限管理は最強 ◦ リソースは割と強め • Editor

    ◦ GCEのサービスアカウントについている ◦ リソースについては最強(Ownerより強い) • Viewer ◦ 見るだけ、触れない(儚い)
  8. Predefined Role • プロダクトごとにきめ細かい ◦ AdminからViewerまで種々いろいろ ◦ Ex.) Storage Object

    Creator (オブジェクトが作れる、けど見れない) ▪ バッチでJSONやらログ吐き出すときに最適
  9. サービス vs. ヒト • サービスはそこまで困らない ◦ 単一の機能なら最小のRoleで済む • ヒトはいろんなもの触る ◦

    随時追加するRoleが増えていく ◦ 追加する側は結構しんどい
  10. サービス vs. ヒト • サービスはそこまで困らない ◦ 単一の機能なら最小のRoleで済む • ヒトはいろんなもの触る ◦

    随時追加するRoleが増えていく ◦ 追加する側は結構しんどい 「いいや、Editor(Owner)で」
  11. サービス vs. ヒト • サービスはそこまで困らない ◦ 単一の機能なら最小のRoleで済む • ヒトはいろんなもの触る ◦

    随時追加するRoleが増えていく ◦ 追加する側は結構しんどい 「いいや、Editor(Owner)で」
  12. 熟慮が大事 • いろいろなものの動きを考える ◦ 「ヒト」は何をするのか ◦ 「サービス」は何をするのか • Primitive RoleはViewer以外使わない

  13. Custom Role 2

  14. Custom Role • 必要なものを必要なだけ追加してRoleとして固める ◦ 複数プロジェクトで同じものが必要なとき ◦ 都度いちいちつけるのが大変なとき

  15. 運用の大変さ • 自動更新されない ◦ 最新のサービスに追従できない ◦ Custom Roleに加えてPredefined Roleも使うハメに •

    複数作るとさらに大変
  16. 使い所(?) • そもそも全プロダクト横断で使うべきではない ◦ 管理ができない、更新もできない • 小さい粒度で組むカスタムロールは効果的 (かもしれない)

  17. まとめ 3

  18. まとめ(確認すること) • ヒトに加えるRoleは最初に綿密なヒアリング ◦ どのサービスをどのレベルまで使うか • 開発サービスはどんな機能なのか ◦ どのマネージドを使うかちゃんと考える •

    カスタムロールはできるだけ使わないに倒したい ◦ 将来的に苦しむ(可能性が高い)
  19. まとめ(確認すること) • ヒトに加えるRoleは最初に綿密なヒアリング ◦ どのサービスをどのレベルまで使うか • 開発サービスはどんな機能なのか ◦ どのマネージドを使うかちゃんと考える •

    カスタムロールはできるだけ使わないに倒したい ◦ 将来的に苦しむ(可能性が高い) はじめが肝心
  20. 宣伝 4

  21. フューチャーについて • 大崎にあるITコンサル会社 • 経営戦略から実装、運用までを全てこなす • ベンダーニュートラルの考え方 • 「ないものは作る」

  22. こんな人がいます • Real World HTTPの著者 • Vue.jsのコミッター • Apache Software

    Foundationのボードメンバー • OSS「Vuls」の作成者
  23. ブログも出しています

  24. fin.