AWS Organizationsの組織ポリシー使ってますか？~ Toranomon Tech Hub 第5回 ~

AWS Organizationsの組織ポリシー使ってますか？ ~ Toranomon Tech Hub 第5回 ~ (株)
サイバーセキュリティクラウド平木佳介

自己紹介  ~$ whoami  平木佳介（Hiraki Keisuke）   ~$  ~$ jobs 
[3]+ 実行中（株）サイバーセキュリティクラウドクラウドセキュリティサービス部   ~$  ~$ groups  CloudFastener テクニカルアカウントマネージャー   AWS Community Builder   ~$   ~$ cat 平木佳介.conf | grep 趣味   趣味：旅行（温泉）、音楽、ドライブ   ~$   ~$ cat 平木佳介.conf | grep 好きなＡＷＳサービス   好きなＡＷＳサービス： Security Hub CSPM   ~$  

はじめに  あなたの組織のあなたのプロジェクト/チーム  のAWSの習熟度はいかがですか？ 

組織でAWSアカウントを運用する際に抱える課題  AWS運用のノウハウ   が成熟している部署  AWS運用のノウハウ   が成熟していない部署  ・AWSにおけるベストプラ
クティスを理解  ・セキュリティにおけるアンチパターンを回避した設計が可能  ・レンタルサーバのような形でしか利用していない  ・IAMなにそれ美味しいの？状態になっている  ・教育に充てるリソースが確保できない  ・プロダクトによって成熟度やセキュリティのレベルにムラがありすぎる   ・成熟していない部署のプロダクトが  セキュリティホールになり、他プロダクトへ被害が広がることは避けたい   組織の管理者 

ガードレールの仕組みの必要性  セキュリティリスクを侵すような操作に対してなんらかのアクションを起こす仕組み（ガードレール）が組織統制には必要。  特定の操作そのものを拒否する予防的ガードレール（予防的統制）と、  操作を検知を検知する発見的ガードレール（発見的統制）がある。 

AWS Organizations について

AWS Organizationsとは  組織内におけるAWSアカウントの一元管理が可能なサービス  アカウントの作成、ワークロードを整理するためのアカウントのグループ化、ガバナンスへのポリシーの適用などが可能になる  https://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/ou-structure-landing-zone/phase-1.html  

Organizationsの組織ポリシー  Organizationsでは組織ポリシーを活用することで、  予防的ガードレールの実装と一元管理ができる。  組織ポリシーを活用することで、  組織内における何をして良くて何をしてはいけないかを統制が可能。  利用者側で考慮不足であったとしてもガードレールに沿って守ることが可能。 

Organizationsの組織ポリシーを高速で解説

Organizationsの組織ポリシー  承認ポリシー  （アクセスに対する一元管理）      ・サービスコントロールポリシー   （SCP）  ・リソースコントロールポリシー  
（RCP）  管理ポリシー  （サービスに対する一元管理）      ・宣言型ポリシー  ・バックアップポリシー   ・タグポリシー  ・チャットアプリケーションポリシー   ・AIサービスのオプトアウトポリシー   ・Security Hubポリシー  

承認ポリシー - SCP  メンバーアカウント内のプリンシパル（ルートユーザーやIAMユーザー、フェデレーションユーザーなど）に対してアクセス許可を管理するポリシー  許可するアクションを限定するのではなく、許可しないアクションを指定していくポリシーです。  
Organizations Amazon S3 User PutObject 暗号化 ✕ PutObject 暗号化〇 { "Version": "2012-10-17", "Statement": [{ "Effect": "Deny", "Action": "s3:PutObject", "Resource": "*", "Condition": { "Null": { "s3:x-amz-server-side-encryption": "true" }}}]} SCP 

承認ポリシー - RCP  メンバーアカウント内のリソースに対してアクセス許可の上限を管理するポリシー  S3やKMSといったリソースベースポリシーに対し、リソース間での一貫したアクセスコントロールを実施   Organizations
Amazon S3 User PutObject 暗号化 ✕ PutObject 暗号化〇 { "Version": "2012-10-17", "Statement": [{ "Effect": "Deny", "Principal": "*", "Action": "s3:PutObject", "Resource": "*", "Condition": { "Null": { "s3:x-amz-server-side-encr yption": "true" }}}]} { "Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Principal": "*", "Action": "s3:PutObject", "Resource": "*" }]} RCP  バケットポリシー  

管理ポリシー - 宣言型ポリシー  組織全体または対象OU内において特定のサービスにおける設定を一元的に宣言して管理するポリシー   所定の設定値をAPIレベルではなく設定値の項目レベルで適用できない状態にさせることが可能。   Organizations
User { "ec2_attributes": { "snapshot_block_public_access": { "state": { "@@assign": "block_all_sharing" }}}} 宣言型ポリシー  

OU-A メンバーアカウントB Organizations 管理ポリシー - バックアップポリシー  組織で統一したバックアッププランを作成し一元管理を行うポリシー。   共通のバックアップオペレーションにてバックアップ取得ができるため取得漏れを防ぐことが可能。  
AWS Backup Backup plan AWS Organizations AWS Backup AWS Backup AMI Backup plan AMI

管理ポリシー - タグポリシー  タグの標準化に関する一元管理ができるポリシー   コスト配分タグやプロジェクトタグなどを強制化させたい際に付与の有無や文字のバラつき（大文字小文字やタイポなど）などを防ぐことが可能。   Organizations
User Project: Cat PROJECT: Tora { "tags": { "Project": { "tag_key": { "@@assign": "Project" }, "tag_value": { "@@assign": [ "Clanyan", "Tora" ], "enforced_for": { "@@assign": [ "ec2:ALL_SUPPORTED" ]}}}}} タグポリシー  Amazon EC2 Project: Clanyan

管理ポリシー - チャットアプリケーションポリシー  組織内におけるチャットアプリケーションのアクセス制御を一元管理するポリシー   特定のロールの利用や、指定のチャネルのみの制限などが可能。   Organizations {
"chatbot": { "platforms": { "slack": { "client": { "@@assign": "enabled" }}}, "default": { "client": { "@@assign": "disabled" }}}} チャットアプリケーションポリシー   Amazon Q Developer (旧AWS Chatbot)

管理ポリシー - AIサービスのオプトアウトポリシー  ユーザーが利用するAWSのAIサービスのうち、 AWSサービス改善のためにコンテンツを保存されないようにオプトアウトすることが可能なポリシー    
  Organizations { "services": { "default": { "opt_out_policy": { "@@assign": "optOut" }}}} AIサービスのオプトアウトポリシー   Amazon Q Amazon Rekognition 学習データ

管理ポリシー - Security Hub ポリシー  組織全体においてSecurity Hubの設定（CSPMじゃないほう）を一元管理できるポリシー  組織全体でセキュリティ設定を自動的に適用が可能  
Organizations { "securityhub":{ "enable_in_regions":{ "@@append":[ "ap-northeast-1" ]}, "disable_in_regions":{ "@@append":[ "ap-northeast-3" ]}}} Security Hub ポリシー   ap-northeast-1 ap-northeast-3 AWS Security Hub AWS Security Hub

おわりに

まとめ  組織が拡大していくほど、  設定漏れ・設定ミスにより把握しきれないセキュリティホールの発生により、  いつしか気付いてからでは遅い事態が起こるかもしれません。  データ境界を適切に定めておくためにも、  ぜひOrganizationsの機能はフル活用いただければと思います！    参考： https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies.ht ml 

ご清聴ありがとうございました！ 

AWS Organizationsの組織ポリシー使ってますか？~ Toranomon Tec...

AWS Organizationsの組織ポリシー使ってますか？~ Toranomon Tech Hub 第5回 ~

平木佳介

More Decks by 平木佳介

Featured

Transcript