ぼくらのアカウント戦略〜マルチアカウントでのガバナンスと権限管理の全て〜

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 2 ⾃⼰紹介⼤橋衛（オオハシマモル） KDDI株式会社プラットフォーム開発本部社内API基盤戦略策定 AWS社内エヴァ／クラウドコンサルアプリエンジニア12年インフラエンジニア4年クラウドエンジニア5年⽬(=AWS歴) NW-JAWSコアメンバー好きなAWSサービス︓IAM/SNS/Lambda

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 4 シングルアカウント vs マルチアカウント Pros Cons シングルアカウント ❍ ガバナンスが利かせやすい ❍ システム間連携が超ラク ❍ 共通機能への接続も楽ちん ❍ 毎⽉発⽣する利⽤費分割祭り（ラベル地獄） ❍ ひとつのサービス利⽤制限が全システムに影響 ❍ きめ細かい権限設定ができないマルチアカウント ❍ システム/部署毎に管理を委譲できる ❍ 費⽤精算を部署ごとに括れる ❍ アカウント毎にガバナンスを分けることも可能 ❍ アカウント数⼤爆発 ❍ ガバナンス領域とその範囲のバランス取りが難しい ❍ ガバナンス更新時は全てのアカウントに反映する必要ありガバナンスの内容と利かせ⽅が判断のポイント

Slide 5

Slide 5 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 5 ❍ 経費精算を部⾨ごとに実施する必要があった ü ラベル地獄コワイ ü 毎⽉精算処理とかやってられない ❍ 環境毎に場所を分離しなければならないというルールがあった ü 「開発/検証/商⽤は物理的にラック/架列/電源系統/局舎を分離せよ」 ü 物理環境をVPCじゃなくアカウントに読み替えた ❍ 障害切り分けが容易になる ü 障害がどのシステムのどの環境で起きたのか⼀発で把握できる ü フォレンジクスもアカウント丸ごと凍結で可能に ❍ そもそもシステム毎のアーキテクチャに類似性がない ü 実装要件が多岐に渡りすぎて機能制限をかけるのが難しい ü そもそもクラウドでアーキテクチャ制限を効かせる意味って何︖ KDDIがマルチアカウントを選んだ理由

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 8 アカウント管理責任共有モデル Identity & Access Management IAM ポリシー設定 rootアカウント管理費用管理基底ガバナンス適用 IAM ポリシー設計 IAM ユーザー管理利⽤部⾨管理部⾨ Audit Log Management 監査証跡ログ保全 AWS CloudTrail AWS IAM AWS Account

Slide 9

Slide 9 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 9 マルチアカウント構成 Billing Master Common Tools Governance Controller Virtual Security Room Dev Stg Prd Lab Dev Stg Prd Lab Dev Stg Prd Lab System A System B System C ・・・ Management Accounts User Accounts

Slide 10

Slide 10 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 10 Billing Master Common Tools Governance Controller Virtual Security Room Dev Stg Prd Lab Dev Stg Prd Lab Dev Stg Prd Lab System A System B System C Management Accounts User Accounts User Accounts︓ユーザー向けアカウント群

Slide 11

Slide 11 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 11 ❏ システム毎に最⼤４種類のアカウントを⽀給 ❏ 全アカウントに対し基底ガバナンス(後述)が設定される ❏ 共通機能アカウントも作るのが世界標準らしい (DNSキャッシュ,NTP,認証,Private接続⽤GW,etc...) User Account Dev Stg Prd Lab System A 開発商⽤ステージング評価/検証 User Accounts Common 共通機能

Slide 12

Slide 12 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 12 Billing Master Common Tools Governance Controller Virtual Security Room Dev Stg Prd Lab Dev Stg Prd Lab Dev Stg Prd Lab System A System B System C Management Accounts User Accounts Management Acounts︓管理⽤アカウント群

Slide 13

Slide 13 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 13 Billing Master Common Tools Governance Controller Virtual Security Room Management Accounts Billing Master︓請求管理アカウント ❍ いわゆる⼀括請求アカウント ❍ 費⽤取纏めのみで個別案件の収容はなし ❍ 各ユーザーアカウントへは ViewBillingやViewUsageの権限を付与しているので利⽤費の閲覧は可能

Slide 14

Slide 14 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 14 Billing Master︓請求管理アカウント Billing Master Management Accounts User Accounts ⼀括請求処理 • 利⽤状況管理 • 利⽤費の閲覧 (※⾃アカウントのみ) • 利⽤状況管理 • 利⽤費の閲覧 • ⽀払⽅法の指定 (全アカウント) • 利⽤状況管理 • 利⽤費の閲覧 (※⾃アカウントのみ)

Slide 15

Slide 15 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 15 Billing Master Common Tools Governance Controller Virtual Security Room Management Accounts Governance Controller︓ガバナンス制御アカウント ❍ 全ユーザーアカウントへのガバナンス制御を専⽤で⾏う ❍ ユーザーアカウント発⾏時に基底ガバナンスを適⽤する ❍ CloudTrailログ集約 ❍ ガバナンス監視ツールココがキモ︕少々ムズい︕

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 18 Governance Controller︓ガバナンス監視ツール DynamoDBに登録されているアカウント毎の通知⽅法で通知 ①rootログイン検知通常は起き得ないrootログインの検知 ②IAMログイン連続失敗検知同⼀IAMユーザーが10分間に 5回ログイン失敗したら検知 ③IAM設定変更通知想定外のIAM設定変更を検知 ④CloudTrailログ改竄検知想定外ユーザーによるCloudTrailログ保存先S3にへの更新イベントを検知

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 23 User Account︓S-in時の「権限の絞り込み」フロー In-Development In-Development In-Service S-in PoC/Dev/Stg アカウント Prd アカウントアクセス権限 In-Development In-Service Security統制リソース × × IAMユーザー管理 ○ ○ IAMグループ/ロール/ポリシー ○ × システム⽤リソース ○ △(最⼩限) 発⾏アカウント発⾏直後はガバナンス機能以外なんでもイジれる商⽤アカウントのみ、S-inのタイミングで最⼩限に絞り込まれる

Slide 24

Slide 24 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 24 Governance Contoller︓商⽤環境でユーザーが出来ることユーザーが実⾏できる操作は所属するグループの「ロール」に依存グループの追加/削除やロール変更をするには管理部⾨への依頼が必要基底ポリシーグループ毎のロール In-Service Prd アカウントユーザー部⾨と協議の上、運⽤設計に合わせたグループと権限を設定

Slide 25

Slide 25 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 25 Billing Master Common Tools Governance Controller Virtual Security Room Management Accounts Virtual Security Room︓仮想セキュリティルームアカウント ❍ アカウント管理者によるリモートアクセスを管理 ❍ 初期設定含め全てのユーザーアカウントへの作業はここを踏んでいく必要がある ❍ セキュリティルームでの作業と同等のセキュリティレベルを確保できるようにしている

Slide 26

Slide 26 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 26 どちらも作業時に⾃動通知 Virtual Security Room 作業内容に応じたロールを初期設定＆仮想セキュリティルーム側のグループと信頼関係を結んでおく SwitchRoleして作業 (マネコン/スクリプト共) 作業内容に応じたグループを⽤意作業証跡ログ保存 (⼊退室管理) 踏み台からのみSSH可作業毎に所属するグループを切り替え IP制限 IP制限+MFA 常時OFF 再起動時に最新版取得

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 28 Billing Master Common Tools Governance Controller Virtual Security Room Management Accounts Common Tools︓共通ツール ❍ アカウント管理者が利⽤／提供するサービスやツール類を配備 ❍ ホスト／システムはこの上で動かしており、それらをアカウント管理者やユーザーが利⽤するイメージ

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 30 予算管理＆アラームツール「MADOKA」【主な機能】 u １ユーザー複数アカウント対応 u 段階的Billingアラーム設定 u 連続通知抑⽌切替 u 現状＆しきい値グラフ表⽰【アーキテクチャ】 u S3+Lambda+DynamoDB+SNS u サーバレスなので細かいインフラ運⽤の考慮不要 u 予算設定はユーザー⾃⾝が管理

Slide 31

Slide 31 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 31 User Accounts︓ユーザー向けアカウント群 Billing Master Common Tools Governance Controller Virtual Security Room Dev Stg Prd Lab Dev Stg Prd Lab Dev Stg Prd Lab System A System B System C Management Accounts User Accounts

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Copyright © 2018 KDDI Corporation. All Rights Reserved 33 • マルチなら中途半端にアカウントを共⽤しない • ユーザーアカウントは環境、管理アカウントは機能で分ける • ガバナンスは外部から制御 • 監査証跡ログをユーザーから切り離し保全 • 監査証跡ログは⾃動化に徹底利⽤ • コード化しとけば全アカウントへの更新も⼀発 • Organizationsでやったほうが絶対ラクまとめ