Centralize root access 使ってみた

Centralize root access 使ってみた

Transcript

1. Centralize root access 使ってみた
2. 目次 1. ルートユーザ管理の課題 2. Centralize root access 使ってみた 3. 使用開始時の注意点 4. まとめ
3. 1.ルートユーザ管理の課題 みなさん、ルートユーザ使っていますでしょうか
4. 1.ルートユーザ管理の課題 ▪ルートユーザとは AWSアカウントにおけるすべての操作を行うことができる非常に強い権限。
5. 1.ルートユーザ管理の課題 ▪ルートユーザの使用機会は少ない （ルートユーザ認証が必須となる作業） ・アカウント設定変更 アカウント名、E メールアドレス、アカウントのクローズ ・未使用のリザーブドインスタンスの販売登録 ・誤操作により、ルートユーザ以外でアクセス不可となった リソースポリシーの変更 https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_root-user.html#id_root-user-access-management
6. 1.ルートユーザ管理の課題 ▪一方で、複数アカウントの運用が前提となる現在、 ルートユーザ管理には手間がかかる ・新規AWSアカウント作成時のMFA設定作業 ・MFAデバイスの管理 ・ルートユーザパスワードのローテーション作業 →そもそもルートユーザ不要では?
7. 1.ルートユーザ管理の課題 ▪一方で、ルートユーザの管理には手間がかかる ・新規AWSアカウント作成時のMFA設定作業 ・MFAデバイスの管理 ・ルートユーザパスワードのローテーション作業 →そもそもルートユーザ不要では? この課題、、、 Centralize root accessで解決できます。
8. 2. Centralize root access 使ってみた
9. 2. Centralize root access 使ってみた ▪ Centralize root access とは AWS Organizationsで導入された、 複数のAWSアカウントにまたがるルートユーザーについて、 一元的に管理および制御する新機能。
10. 2. Centralize root access 使ってみた ▪ Centralize root access でできること ・Organizationsメンバーアカウントの ルートユーザの削除 ※ Centralize root access 有効化後に新規作成したメンバーアカ ウントはデフォルトでルートユーザなしになる ・Organizations管理アカウントによる、 メンバーアカウントでの特権アクション実行 ー 誤って設定された Amazon S3 バケットポリシーの削除 ー 誤って設定された Amazon SQS キューポリシーの削除 ー https://dev.classmethod.jp/articles/root-access-management/
11. 2. Centralize root access 使ってみた ▪Centralize root access の有効化 使用したい機能だけ選ぶことも可能
12. 2. Centralize root access 使ってみた ▪メンバーアカウントでの特権アクションの実行 実施したい特権アクションを選択。 （今回はルートユーザ認証情報の削除 を選択）
13. 2. Centralize root access 使ってみた ▪ルートユーザが削除され、ログイン不可に。 またパスワードの回復も実施不可。
14. 3. 使用開始時の注意点
15. 3.使用開始時の注意点 ▪有効化後、既存メンバーアカウントのルートユーザーは自動的に削除さ れるわけではなく、マネコン・CLI・APIで明示的に削除していく必要がある。 →数十、数百個単位でAWSアカウントを管理している場合は、 ルートユーザ削除のための自動化スクリプトを用意するとよい。 ＃サンプルコードも公開中 https://aws.amazon.com/jp/blogs/ news/centrally-managing-root-access- for-customers-using-aws-organizations/
16. 3.使用開始時の注意点 ▪新規メンバーアカウントにはルートユーザが作成されないため、初回ログイ ンにルートユーザを使用できない。 →ルートユーザの代わりに、メンバーアカウント作成時に指定したIAMロール を使用して、スイッチロールを行い、環境整備を行う必要がある。
17. 3.使用開始時の注意点 ▪場面は少ないものの、ルートユーザでしかできない設定があるのは確か。 →削除にあたり、どのような場合にルートユーザの再払い出しを認めるかを定義し ておく必要がある。 （再掲:ルートユーザ認証が必須となる作業） ・アカウント設定変更 アカウント名、E メールアドレス、アカウントのクローズ ・未使用のリザーブドインスタンスの販売登録 ・誤操作により、ルートユーザ以外でアクセス不可となった リソースポリシーの変更
18. 4. まとめ
19. 4.まとめ 多少の注意点はありますが、 Centralize root access を使って、 ルートユーザ管理を楽してみてはいかがでしょうか?
20. ご清聴ありがとうございました。