CloudFormation Guard で Policy as Code！実際どうよ？ / Policy as Code with CloudFormation Guard

Slide 1

Slide 1 text

© 2022, Amazon Web Services, Inc. or its affiliates. © 2022, Amazon Web Services, Inc. or its affiliates. ⼤村幸敬 Manager, Solutions Architect Amazon Web Services Japan 2022/10/08 CloudFormation Guard で Policy as Code︕ 実際どうよ︖ J AW S D AY S 2 0 2 2 AW S S A / エキスパート怒涛の LT チャレンジ

Slide 2

Slide 2 text

© 2022, Amazon Web Services, Inc. or its affiliates. ⼤村幸敬（おおむらゆきたか）部⻑ / シニアソリューションアーキテクト • これからクラウドを使いはじめるエンタープライズ企業をサポート • 運⽤系サービス & DevOps 系サービスをリード • Baseline Environment on AWS (BLEA) 開発者好きなAWSのサービス︓ AWS Command Line Interface (CLI) AWS Cloud Development Kit (CDK) AWS Systems Manager Incident Manager @yktko 2

Slide 3

Slide 3 text

Slide 4

Slide 4 text

© 2022, Amazon Web Services, Inc. or its affiliates. Policy as Code が実現する世界開発から運⽤までいずれの⼯程でもシステム環境がポリシーに適合していることをコードで検証できる 4 CFn 検証コーディングデプロイ稼働環境ポリシーコード（従うべきセキュリティ等を定義） CloudFormation (CFn) 検証検証 CloudFormation テンプレート

Slide 5

Slide 5 text

© 2022, Amazon Web Services, Inc. or its affiliates. Policy as Code on AWS の現状 1. CFnテンプレートの検証: cfn-guard, cfn_nag, cfn-lint 2. CFnデプロイ時の予防的ガードレール: CFn Hooks 3. 稼働環境の発⾒的ガードレール: AWS Config Rules 5 CFn cfn-guard コーディングデプロイ稼働環境 CloudFormation CFn Hooks Config Rules (カスタムルール) CloudFormation テンプレート

Slide 6

Slide 6 text

© 2022, Amazon Web Services, Inc. or its affiliates. Policy as Code on AWS の課題 • 同じポリシーを異なる形式で定義する必要がある § cfn-guard → Guard DSLで定義 § AWS Config Rules → Lambdaコード+RDK*で定義 6 CFn cfn-guard コーディングデプロイ稼働環境 CloudFormation Config Rules (カスタムルール) CloudFormation テンプレート *RDK = Rule Development Kit https://github.com/awslabs/aws-conﬁg-rdk CFn Guard DSL Lambda+ RDK

Slide 7

Slide 7 text

© 2022, Amazon Web Services, Inc. or its affiliates. Config Rules を CFn Guard DSLで定義可能に 7 Q: 同じDSLでCFnテンプレートも実環境も検証できるのでは︖ CFn cfn-guard コーディングデプロイ稼働中環境 CloudFormation Config Rules (w/CFn Guard DSL) CloudFormation テンプレート CFn Guard DSL

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

© 2022, Amazon Web Services, Inc. or its aﬃliates. AWS CloudFormation Guard (CFn Guard) • 2020年10⽉ CFn Guard 1.0 がリリース • 2021年5⽉ 2.0 がリリースされ DSLが⼤きく変更（1.0と⾮互換) • 2022年6⽉ 2.1 がリリース • 2022年8⽉ Config Rules が CFn Guard DSL に対応 10 https://github.com/aws-cloudformation/cloudformation-guard

Slide 11

Slide 11 text

© 2022, Amazon Web Services, Inc. or its aﬃliates. CFn Guard (フェーズ1: ルールとテストを書く） 11 S3が暗号化されていることを検証するルール (Guard DSL) s3-encrypt.guard ルールのテストコード (YAML) s3-encrypt_tests.yaml ルールのテスト実⾏ (Guard CLI) すべてのテストが意図した結果になりテストをPASSしている

Slide 12

Slide 12 text

© 2022, Amazon Web Services, Inc. or its affiliates. CFn Guard (フェーズ2: CFnテンプレートの検証） 12 S3が暗号化されていることを検証するルール (Guard DSL) s3-encrypt.guard CFnテンプレ (S3バケット暗号化あり) ルールで検証（PASS） s3-encrypted.yaml s3-un-encrypted.yaml CFnテンプレ (S3バケット暗号化なし) ルールで検証（FAIL）

Slide 13

Slide 13 text

Slide 14

Slide 14 text

© 2022, Amazon Web Services, Inc. or its affiliates. 同じDSLで CFnテンプレートと Config を検証するルール (Parameterized Rules) 14 https://github.com/aws-cloudformation/cloudformation-guard/releases/tag/2.1.0 For CFn For CFn For Config For Config 共通のルールへそれぞれから適したパラメータを渡すサンプルルールの内容（抜粋） CFn Guard GitHubのサンプルコード CFnテンプレートの検証はOK︕ （中略）

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

© 2022, Amazon Web Services, Inc. or its aﬃliates. まとめ 20 Q: 同じGuard DSLで CFnテンプレートも実環境も検証できるのでは︖ A: もう少し、こなれてくる必要がありそう CFn cfn-guard コーディングデプロイ稼働中環境 CloudFormation Config Rules (w/CFn Guard DSL) CloudFormation テンプレート CFn Guard DSL

Slide 21

Slide 21 text

© 2022, Amazon Web Services, Inc. or its affiliates. まとめ 21 CloudFormationテンプレートの検証に Conﬁg カスタムルールの開発に CFn Guard それぞれお試しください︕ CFn cfn-guard コーディングデプロイ稼働環境 CloudFormation CFn Hooks Conﬁg Rules (カスタムルール w/CFn Guard) CloudFormation テンプレート