仮想通貨取引所における AWSアカウント管理と踏み台サーバのあり方

by 石川将吾

Slide 1

Slide 1 text

ビットバンク株式会社仮想通貨取引所における AWSアカウント管理と踏み台サーバのあり方石川　将吾  JAWS DAYS 2020

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

AWSアカウント管理の取り組み 5

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

踏み台サーバの取り組み 13

Slide 14

Slide 14 text

© bitbank inc. Session ManagerでなくEC2を踏み台として採用 ● SSM Agentがインストールされていないサーバが多くあり、これからインストールするのは現実的でなかった。    ● 「誰が」接続したのか判別するのため設定が煩雑  ○ Session Managerの場合、OSユーザを事前に用意が必要があり、運用担当者が代わるたびにOS ユーザの変更は現実的で無かった     ● ユーザ毎に接続先の権限管理が煩雑  ○ AWS SSOでAWSアカウントを管理してるため、権限管理が煩雑になってしまう       14

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

踏み台サーバのインバウンド・アウトバウンド 17

Slide 18

Slide 18 text

Slide 19

Slide 19 text

踏み台サーバのログイン認証と通知 19

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

アプリケーションサーバへの接続方法の検討とその仕組み 22

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

© bitbank inc. 秘密鍵の管理と配信の仕組み(流れ) 1. Lambdaを実行    26 DynamoDB 1.実行 Parameter Store EC2 踏み台 2.ユーザの権限を確認 3.鍵を取得 Lambda 2. DynamoDBでユーザの権限を確認  3. SSMから鍵を取得  user@ip-x-x-x-x .ssh]$ ls dev-test.pem dev-test-2.pem 4. 踏み台に秘密鍵を配信  4.鍵を配信

Slide 27

Slide 27 text

Slide 28

Slide 28 text

© bitbank inc. 鍵が流出する可能性を減らす権限構成(2) 28 そこでSELinuxによるカーネルレベルでのアクセス制御  ● 秘密鍵の読み取り権限をユーザなどから剥奪した  ● ユーザがcat, echo, cpなどで鍵を読み取りできない  ● アプリサーバへSSHはUnix権限は chmod 400 であるため可能  ssh App user@ip-x-x-x-x tmp]$ cat ~/.ssh/test.pem cat: /home/user/.ssh/test.pem: Permission denied cat 踏み台  アプリサーバ 

Slide 29

Slide 29 text

Slide 30

Slide 30 text

ログ管理とモニタリング 30

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

その他の OSレベルでの取り組み 34

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

運用時のトラブル 37

Slide 38

Slide 38 text

© bitbank inc. Google AuthenticatorによるMFAがエラーになる 38 原因  ● セキュリティグループでアウトバウンド制限していたため、NTPに接続を拒否していた  ● このため時間同期できずサーバ内の時間がズレてしまった    対応  ● Amazon Time Sync Serviceを使って時刻同期するようにした  ● SGのアウトバウンドを開ける必要がないのがメリット     

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Slide 41

Slide 41 text

41 ビットコインの技術で世界中にあらゆる価値を流通させる