20201114 GCPUG Shonan

Transcript

1. 難しいIAM #GCPUG Shonan 20.11.14 Taisei Ito

2. 自己紹介 • 伊藤 太斉(Taisei Ito) ◦ @kaedemalu(Twitter, Github) ◦ フューチャー株式会社

   ▪ Technology Innovation Group / DX Unit ◦ コンサルタント&インフラエンジニア ◦ #GCP #Terraform • Community ◦ GCPUG Shonan Staff ◦ CloudNative Days Committee

3. IAM(Role)の運用難しい

4. IAMの運用の難しいところ • 意外と「ちょうどいい」がない ◦ 必要十分なものがない • だからといってCustom Roleも面倒 ◦ 追加→足りない→追加の「いたちごっこ」

   • プロジェクト立ち上げのときに毎回考える問題

5. お品書き • Primitive Role vs. Predefined Role • Custom Role

   • まとめ

6. Primitive Role vs. Predefined Role 1

7. Primitive Role • Owner ◦ ヒトにおける権限管理は最強 ◦ リソースは割と強め • Editor

   ◦ GCEのサービスアカウントについている ◦ リソースについては最強(Ownerより強い) • Viewer ◦ 見るだけ、触れない(儚い)

8. Predefined Role • プロダクトごとにきめ細かい ◦ AdminからViewerまで種々いろいろ ◦ Ex.) Storage Object

   Creator (オブジェクトが作れる、けど見れない) ▪ バッチでJSONやらログ吐き出すときに最適

9. サービス vs. ヒト • サービスはそこまで困らない ◦ 単一の機能なら最小のRoleで済む • ヒトはいろんなもの触る ◦

   随時追加するRoleが増えていく ◦ 追加する側は結構しんどい

10. サービス vs. ヒト • サービスはそこまで困らない ◦ 単一の機能なら最小のRoleで済む • ヒトはいろんなもの触る ◦

    随時追加するRoleが増えていく ◦ 追加する側は結構しんどい 「いいや、Editor(Owner)で」

11. サービス vs. ヒト • サービスはそこまで困らない ◦ 単一の機能なら最小のRoleで済む • ヒトはいろんなもの触る ◦

    随時追加するRoleが増えていく ◦ 追加する側は結構しんどい 「いいや、Editor(Owner)で」

12. 熟慮が大事 • いろいろなものの動きを考える ◦ 「ヒト」は何をするのか ◦ 「サービス」は何をするのか • Primitive RoleはViewer以外使わない

13. Custom Role 2

14. Custom Role • 必要なものを必要なだけ追加してRoleとして固める ◦ 複数プロジェクトで同じものが必要なとき ◦ 都度いちいちつけるのが大変なとき

15. 運用の大変さ • 自動更新されない ◦ 最新のサービスに追従できない ◦ Custom Roleに加えてPredefined Roleも使うハメに •

    複数作るとさらに大変

16. 使い所(?) • そもそも全プロダクト横断で使うべきではない ◦ 管理ができない、更新もできない • 小さい粒度で組むカスタムロールは効果的 (かもしれない)

17. まとめ 3

18. まとめ(確認すること) • ヒトに加えるRoleは最初に綿密なヒアリング ◦ どのサービスをどのレベルまで使うか • 開発サービスはどんな機能なのか ◦ どのマネージドを使うかちゃんと考える •

    カスタムロールはできるだけ使わないに倒したい ◦ 将来的に苦しむ(可能性が高い)

19. まとめ(確認すること) • ヒトに加えるRoleは最初に綿密なヒアリング ◦ どのサービスをどのレベルまで使うか • 開発サービスはどんな機能なのか ◦ どのマネージドを使うかちゃんと考える •

    カスタムロールはできるだけ使わないに倒したい ◦ 将来的に苦しむ(可能性が高い) はじめが肝心

20. 宣伝 4

21. フューチャーについて • 大崎にあるITコンサル会社 • 経営戦略から実装、運用までを全てこなす • ベンダーニュートラルの考え方 • 「ないものは作る」

22. こんな人がいます • Real World HTTPの著者 • Vue.jsのコミッター • Apache Software

    Foundationのボードメンバー • OSS「Vuls」の作成者

23. ブログも出しています

24. fin.