OU外でもIAM Identity Centerを使いたい！

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

©2024 Metaps Holdings, Inc. 社名  株式会社メタップスホールディングス   (Metaps Holdings, Inc.)   設立  2023年1月26日　  資本金  100百万円（資本準備金を含む）  ※2023年12月末時点  所在地  東京都渋谷区渋谷二丁目24番12号   渋谷スクランブルスクエア   従業員数  72名 ※2023年12月末時点  経営陣  代表取締役　山﨑祐一郎取締役　　　原大輔  取締役　　　青沼克典   社外取締役　大谷仁人   監査役　　　萩野矢宏樹事業内容  クラウドとAIを中心にしたインキュベーション   テクノロジー企業への投資     MISSION テクノロジーでお金と経済のあり方を変える     世界を解き放つ       VISION 会社概要

Slide 4

Slide 4 text

Slide 5

Slide 5 text

©2024 Metaps Holdings, Inc. ©2024 Metaps Holdings, Inc. 5 インフラ基盤アプリケーションが動いてる環境アプリケーションのエラーをトラッキングするツールオンコール担当 (SRE) に障害をエスカレーションするサービスインフラ基盤の監視エラートラッキングオンコール通知 srestは各種インフラサービスのインテグレーション先となり、各サービスのイベントログを集積‧可視化する基盤にイベントログの集積‧可視化システムメトリクス監視ツール 5 5 無料トライアル実施中＞

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

©2024 Metaps Holdings, Inc. IAMポリシーのみでAWSアカウントにログインできるSSOサービス「許可セット」を使うことで IAMポリシー名を指定するだけでログイン先の設定が完了する 😆 アクセスキー&シークレットアクセスキーを抹消できる MFAを各アカウントで設定する必要がなくなる CLIでもaws sso loginコマンドで⼀発 -> 依存関係がなくシンプルつまりIAMユーザー不要！？

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

©2024 Metaps Holdings, Inc. 作り⽅ ● 親アカウントに戻って、IICアプリケーションを選択 ->「属性マッピング」 ● IICグループにユーザーをアタッチ ● IICグループをアプリケーションに割り当てるアプリケーションのユーザー属性ユーザー属性マッピング形式 https://aws.amazon.com/SAML /Attributes/Role https://aws.amazon.com/SAML/Attributes/Role arn:aws:iam::{AWSアカウントID}:saml-provider/{IDプロバイダー},arn:aws:iam::{AWSアカウントID}:role/{IAMロール} unspeciﬁed 属性マッピングの設定例

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

©2024 Metaps Holdings, Inc. 現状公式から提供されている⽅法は現実的ではない https://repost.aws/ja/knowledge-center/aws-cli-call-store-saml-credentials 1. ブラウザでデベロッパーツールを開きPOSTメソッドからSAMLResponseを探す 2. 1のログを保存して aws sts assume-role-with-saml コマンドを⼊⼒ 3. 2の出⼒結果から”AccessKeyId”, ”SecretAccessKey”, ”SessionToken” を ~/.aws/credentials に保存これ毎回やるの！？

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

©2024 Metaps Holdings, Inc. どんな仕組み？ [example] name = {saml2awsプロファイル名} app_id = url = {IICアプリケーション URL} username = provider = Browser mfa = Auto mfa_ip_address = skip_verify = false timeout = 0 aws_urn = urn:amazon:webservices aws_session_duration = 28800 aws_profile = {AWS CLIプロファイル名} resource_id = subdomain = role_arn = region = http_attempts_count = http_retry_delay = credentials_file = saml_cache = false saml_cache_file = target_url = disable_remember_device = false disable_sessions = false download_browser_driver = false headless = false prompter = ~/.saml2aws (フォーマットバグってますが許してください) ~ % saml2aws login -a {saml2awsプロファイル名} [--download-browser-driver] 1. ~/.saml2awsに設定を記載 2. ターミナルで下記のコマンドを⼊⼒する aws sso loginコマンドと同じ感覚で使える! -> STSの⾃動発⾏ + AWS CLIのプロファイル⾃動追加

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

©2024 Metaps Holdings, Inc. Terraform AWSプロバイダーが(⼀部)対応してない https://registry.terraform.io/providers/hashicorp/awscc/latest/docs/data -sources/sso_application ⭕ AWS SSO Admin (IIC) ❌ IICアプリケーション awsccプロバイダーでは対応できるが...? -> Terraformプロバイダー利⽤ポリシーが社内で決まっており今回は断念

Slide 24

Slide 24 text

©2024 Metaps Holdings, Inc. Google Workspaceとの相性が悪かった弊社で運⽤しているGoogle Workspaceの組織は2アカウントで契約中 ‧正社員 ‧業務委託 IICのIDソースは1対1での紐付け - Google WorkspaceのIDをソースとしてしまうと業務を担当している⼈全員にSSOが⾏き渡らない IICが発⾏している IDソースを使うことで解決