サービスが増えた今こそ 気にしたいアクセス管理

Profile 名前：久住 陽介（Yosuke Kusumi） 所属：ネクストモード株式会社 好きなこと： - 以前：AWS大好き - 最近：SaaSおじさん

今日のテーマ ● お話する内容 ○ AWSのサービス／機能が増えてきた今疎 かになりがちな、アクセス管理に視点を置 いています。

今日話すこと - AWSアカウントへのログイン周り - SSMセッションマネージャ, CloudShell - 詳細な設定方法 - RDS、EC2等の特定のサービス 今日話さないこと

? AWSにどうやって ログインしてますか？

以前（初期型くらい）の久住 Internet IAM User IAM User IAM User IAM User IAMユーザを作成、個別にログイン アカウント／アクセス管理つらい セキュリティとは一体・・・

最近の久住 IAM Role IAM Role IAM Role IAM Role パスワード管理から開放された！ Role毎のアクセス権限の管理に集中！ IAMロールを作成、Jumpアカウントからスイッチロール Jumpアカウント SAML2.0 スイッチロール saml-access

ログインイメージ Oktaログイン後、Jumpアカウントにログイン(SAML認証)

ログインイメージ 各AWSアカウントにスイッチロール

? CLI/SDKはどうすれば いいんだYO!

最近の久住 $ saml2aws configure -a jump-account ? Please choose a provider: Okta ? Please choose an MFA OKTA ? AWS Profile jump-account ? URL https://xxxx.okta.com/app/amazon_aws/xxxxx/sso/saml ? Username [email protected] ? Password ************ ? Confirm ************ jump-role jump-account まだイケてない・・・ 早くAWS SSOとOktaを連携させたい！ saml2awsを利用して一時クレデンシャルを発行 $ cat ~/.aws/config [profile test] role_arn = arn:aws:iam::[test-account]:role/jump-role source_profile = jump-account $ saml2aws login -a jump-account $ cat .aws/credentials [jump-account] aws_access_key_id = xxxx aws_secret_access_key = xxxx aws_session_token = xxxx aws_security_token = xxxx x_principal_arn = arn:aws:sts::[jump-account]:assumed-role/saml-access/yosuke.kusumi @nextmode.co.jp x_security_token_expires = YYYY-MM-DDTHH:MM:SS+09:00 saml-access test-account

AWS SSOとOktaの連携 Oktaユーザ／グループのAWS SSOへのプロビジョニング https://aws.amazon.com/jp/about-aws/whats-new/2020/05/manage-access-to-aws-centrally-for-okta-users-with-aws-single-sign-on/

簡単なCLI操作はCloudShellでも jump-role jump-account マネジメントコンソールからCloudShellで実施 saml-access test-account

SSM Session Managerを活用 OS認証もAWS(IAM)認証に寄せて統合管理できる jump-role jump-account saml-access test-account

! SSOをうまく活用して アカウント管理を効率化 使えるところはSSM/AWS CloudShellも活用

Thanks!! ネクストモード クラウドであたらしい働き方を https://nextmode.co.jp/