アジリティと両立する AWS のガバナンスコントロール

Slide 1

Slide 1 text

Slide 2

Slide 2 text

© 2024, Amazon Web Services, Inc. or its affiliates. 2 Shinichi Hama / はまーん (@track3jyo) Sr. Solutions Architect, Startup Amazon Web Services Japan --- • ⼤阪オフィス勤務（ほぼ家にいますが） • スタートアップ企業の⽀援 • 過去のスライド: https://speakerdeck.com/track3jyo • 趣味は「広く」あーきてくてぃんぐ

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

© 2024, Amazon Web Services, Inc. or its affiliates. © 2024, Amazon Web Services, Inc. or its affiliates. ガバナンスにまつわるタスク 7 • ロギング • リスクのある設定の防⽌、検出、修正 • アラート通知設定 • ユーザー管理 • セキュリティチェックシート • パッチ適⽤（脆弱性管理） • コスト最適化（予算アラートの設定など） • インフラのコード化、DevOps導⼊ • AWS アカウント管理 ...and more

Slide 8

Slide 8 text

© 2024, Amazon Web Services, Inc. or its affiliates. スタートアップにおけるガバナンスの課題 8 • 事業フェーズや組織構造に起因 • Product Market Fit 優先のため⼈的リソースを割けない • ガバナンスに責任を持つチームが存在しない • フルサイクルエンジニアやテックリードなど、ハイスキルなメンバーが⽚⼿間で対応している • 外部に起因 • SRE／インフラエンジニアを採⽤したくとも転職市場に⼈がおらず採⽤が難しい • 例) そもそも採⽤⾃体ができない。⼈材流出後の補填もうまくいかない • 例) 業務委託で構築だけお願いしているので、継続的にガバナンスを向上させにくい

Slide 9

Slide 9 text

© 2024, Amazon Web Services, Inc. or its affiliates. スタートアップにおけるガバナンスの課題 9 ⼈的リソースが限られるなかでどうやって多岐にわたるタスクを実施するか︖ • 巨⼈の肩に⽴つ : AWSの経験によるベストプラクティスを適切なタイミングで活⽤ • 最⼩限のセキュリティ対策 – AWS Startup Security Baseline (AWS SSB) • マルチアカウント管理 – AWS Control Tower/Landing Zone • リファレンスの活⽤ – AWS Well-Archtected Framework – AWS Security Reference Architecure (AWS SRA)

Slide 10

Slide 10 text

© 2024, Amazon Web Services, Inc. or its affiliates. スタートアップのためのガバナンス向上ジャーニー 10 サービス⽴ち上げ PMF AWS Startup Security Baseline (AWS SSB) サービス数の増加エンジニアの増加アクションマルチアカウント管理 AWS Control Tower／BLEA 導⼊ Infra as Code, CI/CD pipeline 整備 Observability 導⼊ IPO 最低限必要な設定運⽤コストのかからないマネージドサービスの導⼊開発速度を向上させる基盤の構築複雑化するアーキテクチャと組織構造には⾃動化で対応 Platform Engineering とも関連もちろん、ここで⽰したタイミングより早くアクションできるとGood! 可能であれば、最初期からのマルチアカウント管理が推奨リファレンス AWS Security Reference Architecture (AWS SRA) AWS Well-Architected Framework

Slide 11

Slide 11 text

Slide 12

Slide 12 text

© 2024, Amazon Web Services, Inc. or its affiliates. AWS Startup Security Baseline (AWS SSB) 12 • アジリティを低下させることなく AWS にセキュリティを構築するための最⼩限で基礎的なベースライン – 初期のスタートアップを念頭に設計 – 単⼀の AWS アカウント環境で利⽤することを想定している⼀⽅、マルチアカウントアーキテクチャへにも移⾏しやすい – AWS Well-Architected Framework セキュリティの柱と⼀致 – 「アカウントの保護」「ワークロードの保護」から構成されている https://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/aws-startup-security-baseline/wkld-15.html

Slide 13

Slide 13 text

© 2024, Amazon Web Services, Inc. or its affiliates. 13 AWS SSB [Account編] ACCT02. rootユーザーの利⽤を制限する ACCT01. AWSアカウントの設定emailアドレスは個⼈の emailではなく組織のemailアドレスを設定する ACCT04. IAMグループを使⽤して権限を付与する ACCT03. AWSマネージメントへのアクセスを個々のIAM ユーザー毎に設定する ACCT05. ログイン時にMFAを要求する ACCT06. パスワードポリシーを強化する ACCT08. プライベート S3 バケットへのパブリックアクセスを防ぐ ACCT07. CloudTrail ログを保護された S3 バケットに配信する ACCT10. AWS Budgesを設定し⽀出を監視する ACCT09. 未使⽤のリソースを削除する（VPC、サブネット、セキュリティグループ） ACCT11. Amazon GuardDuty を有効化し通知設定をする ACCT12. AWS Trusted Advisor を使⽤してリスクの⾼い問題を監視して解決する

Slide 14

Slide 14 text

© 2024, Amazon Web Services, Inc. or its affiliates. 14 AWS SSB [ワークロード編] WKLD02. リソースベースのポリシーを使⽤する WKLD01. アクセス許可に IAM ロールを使⽤する WKLD04. アプリケーションシークレットを保護する WKLD03. エフェメラルシークレットまたはシークレット管理サービスを使⽤する WKLD05. 公開されたシークレットを検出して修正する WKLD06. SSH または RDP の代わりに Systems Manager を使⽤する WKLD08. Amazon EBS ボリュームを暗号化する WKLD07. 選択した S3 バケットのデータイベントを記録する WKLD10. プライベートリソースをプライベートサブネットにデプロイする WKLD09. Amazon RDS データベースを暗号化する WKLD11. セキュリティグループを使⽤してアクセスを制限する WKLD12. VPC エンドポイントを使⽤して、サービスにアクセスする WKLD13. すべてのパブリックウェブエンドポイントに HTTPS を要求する WKLD14. パブリックエンドポイントにエッジプロテクションサービスを使⽤する WKLD15. テンプレートを使⽤してセキュリティコントロールをデプロイする

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

© 2024, Amazon Web Services, Inc. or its aﬃliates. AWS Control Tower = コンフィグジェネレータ 19 AWS セキュリティサービス群にベストプラクティスに則った設定を投⼊し、統制を利かせたマルチアカウント環境 (Landing Zone) を構成、運⽤するサービス User Landing Zone AWS Control Tower IAM Identity Center Service Catalog CloudFormation Organizations CloudTrail AWS Conﬁg etc アカウントを効率よく管理する仕組み

Slide 20

Slide 20 text

© 2024, Amazon Web Services, Inc. or its affiliates. AWS Control Tower でできること 20 • ①シングルサインオン • 複数のAWSアカウントへのログインを共通ログイン画⾯で提供 • ②ログ集約 • AWSの操作ログ(監査ログ)の⾃動収集と、専⽤アカウントへの集約 • ③ガードレール • リスクのある操作の予防(禁⽌)と監視(通知) • ④アカウント作成 • 新規AWSアカウントの⾃動セットアップ(連絡先、⽀払い情報設定や上記設定の適⽤) ※なお、既存のワークロードへの副作⽤はありません。

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

© 2024, Amazon Web Services, Inc. or its affiliates. 23 Control Tower - 包括的なコントロール管理機能 - Ø コントロールにフレームワーク、統制⽬標、サービスなどのメタデータが付与され、管理者が⽤途に応じて選択して適⽤しやすくなった • 例1. SageMaker を使いたい → SageMaker を対象とするコントロールを確認＆有効化 • 例2. PCI DSS を準拠したい → PCI DSS を対象とするコントロールを確認＆有効化 Ø 362 のコントロールをプリセットで提供（2023 年 2 ⽉現在） https://aws.amazon.com/jp/blogs/news/new-for-aws-control-tower-comprehensive-controls-management-preview/

Slide 24

Slide 24 text

© 2024, Amazon Web Services, Inc. or its affiliates. まとめ 24 • AWSのガバナンスはビジネスを成功に導く戦略的な取り組み • スタートアップにおける課題と、ガバナンス向上ジャーニーを確認 • AWS Startup Security Baseline で必要最⼩限のタスクからスタートできる • マルチアカウント管理(AWS Control Tower)の導⼊によりガバナンス強化と⾃動化を両⽴し、アジリティを落とさない

Slide 25

Slide 25 text