20201114 GCPUG Shonan

Transcript

1. 難しいIAM #GCPUG Shonan 20.11.14 Taisei Ito
2. 自己紹介 • 伊藤 太斉(Taisei Ito) ◦ @kaedemalu(Twitter, Github) ◦ フューチャー株式会社 ▪ Technology Innovation Group / DX Unit ◦ コンサルタント&インフラエンジニア ◦ #GCP #Terraform • Community ◦ GCPUG Shonan Staff ◦ CloudNative Days Committee
3. IAM(Role)の運用難しい
4. IAMの運用の難しいところ • 意外と「ちょうどいい」がない ◦ 必要十分なものがない • だからといってCustom Roleも面倒 ◦ 追加→足りない→追加の「いたちごっこ」 • プロジェクト立ち上げのときに毎回考える問題
5. お品書き • Primitive Role vs. Predefined Role • Custom Role • まとめ
6. Primitive Role vs. Predefined Role 1
7. Primitive Role • Owner ◦ ヒトにおける権限管理は最強 ◦ リソースは割と強め • Editor ◦ GCEのサービスアカウントについている ◦ リソースについては最強(Ownerより強い) • Viewer ◦ 見るだけ、触れない(儚い)
8. Predefined Role • プロダクトごとにきめ細かい ◦ AdminからViewerまで種々いろいろ ◦ Ex.) Storage Object Creator (オブジェクトが作れる、けど見れない) ▪ バッチでJSONやらログ吐き出すときに最適
9. サービス vs. ヒト • サービスはそこまで困らない ◦ 単一の機能なら最小のRoleで済む • ヒトはいろんなもの触る ◦ 随時追加するRoleが増えていく ◦ 追加する側は結構しんどい
10. サービス vs. ヒト • サービスはそこまで困らない ◦ 単一の機能なら最小のRoleで済む • ヒトはいろんなもの触る ◦ 随時追加するRoleが増えていく ◦ 追加する側は結構しんどい 「いいや、Editor(Owner)で」
11. サービス vs. ヒト • サービスはそこまで困らない ◦ 単一の機能なら最小のRoleで済む • ヒトはいろんなもの触る ◦ 随時追加するRoleが増えていく ◦ 追加する側は結構しんどい 「いいや、Editor(Owner)で」
12. 熟慮が大事 • いろいろなものの動きを考える ◦ 「ヒト」は何をするのか ◦ 「サービス」は何をするのか • Primitive RoleはViewer以外使わない
13. Custom Role 2
14. Custom Role • 必要なものを必要なだけ追加してRoleとして固める ◦ 複数プロジェクトで同じものが必要なとき ◦ 都度いちいちつけるのが大変なとき
15. 運用の大変さ • 自動更新されない ◦ 最新のサービスに追従できない ◦ Custom Roleに加えてPredefined Roleも使うハメに • 複数作るとさらに大変
16. 使い所(?) • そもそも全プロダクト横断で使うべきではない ◦ 管理ができない、更新もできない • 小さい粒度で組むカスタムロールは効果的 (かもしれない)
17. まとめ 3
18. まとめ(確認すること) • ヒトに加えるRoleは最初に綿密なヒアリング ◦ どのサービスをどのレベルまで使うか • 開発サービスはどんな機能なのか ◦ どのマネージドを使うかちゃんと考える • カスタムロールはできるだけ使わないに倒したい ◦ 将来的に苦しむ(可能性が高い)
19. まとめ(確認すること) • ヒトに加えるRoleは最初に綿密なヒアリング ◦ どのサービスをどのレベルまで使うか • 開発サービスはどんな機能なのか ◦ どのマネージドを使うかちゃんと考える • カスタムロールはできるだけ使わないに倒したい ◦ 将来的に苦しむ(可能性が高い) はじめが肝心
20. 宣伝 4
21. フューチャーについて • 大崎にあるITコンサル会社 • 経営戦略から実装、運用までを全てこなす • ベンダーニュートラルの考え方 • 「ないものは作る」
22. こんな人がいます • Real World HTTPの著者 • Vue.jsのコミッター • Apache Software Foundationのボードメンバー • OSS「Vuls」の作成者
23. ブログも出しています
24. fin.