AWS Organizations と一緒にはじめるアカウント分離/Starting Account Separation with AWS Organaizations

Transcript

1. AWS Organiza,onsと一緒に はじめるアカウント分離 多田 貞剛 JAWS-UG朝会 #15

2. • 多⽥ 貞剛(@tada_infra) • 2020年9⽉株式会社スナックミーに中途⼊社 • 筋トレ -> サウナ ->

   サ飯 のトライセットを決 めるのがマイブーム • JAWS-UG 朝会 ⽬⿊版は2,3回か出席 自己紹介

3. 会社紹介

4. 会社紹介 『新しいおやつ体験を想像し、おやつ時間の価値をあげる』 栄養価が⾼く、それでいて美味しさに妥協しないスナックによっ て、おやつそのもの質を上げる。 また、モノだけではなく、新しいおやつ体験をデザインし、おやつ の時間の価値を向上させる。 それによって、おやつの時間が彩りとなり、豊かな⽣活を実現す る。

5. 会社紹介 • おやつ体験 BOX 『snaq.me』 • ⽉額 1,980円(税込、送料込) • 4週

   or 2週毎に100種類以上の商品からお客様にパーソナライ ズした８種のおやつをお届け

6. 会社紹介 おやつ診断、商品リクエスト、商品評価などのデータを取得してお 届けする、パーソナライズされたおやつが特⻑

7. 会社紹介

8. アジェンダ • AWS アカウント管理の課題 • 課題への対応 • 今後やっていきたいこと

9. AWSアカウント 管理の課題

10. AWSアカウント管理の課題 • ⼊社して1⽇⽬にAWSアカウントが発⾏された • 社内に情報がほぼないので中に⼊ってみてみた

11. AWSアカウント管理の課題 • AWSアカウントは1アカウントしかないので開発が危険性⾼め • 開発中に本番のリソースを触っちゃった事故も発⽣していた

12. AWSアカウント管理の課題 • AWS リソースは⼿で作ったり、コード化されているものもあっ たり管理がバラバラ

13. AWSアカウント管理の課題 • ローカルだと動くけど本番デプロイで動作しない事象 • 本番稼働前のテストや動作確認がフローとして確⽴しきって ない • ex. 開発環境である Mac

    のコンテナ上で動いたけど ECS の コンテナでは動作しない

14. AWSアカウント管理の課題 • 今の本番システム構成も変えていきづらい • 疑似本番環境がないためアーキテクチャの変更によって既存 アーキテクチャへの影響だったり、変更計画が建てにくい

15. AWSアカウント管理の課題 • 開発者の AWS 検証環境がなく、CTO しか AWS を触ることが ないような状況だったので開発メンバー全体の知識や経験に偏 りがある

    • 全体のスキルアップ、AWSの習熟度をあげたい

16. AWSアカウント管理の課題 ɾɾɾɾɾɾɾɾ

17. AWSアカウント管理の課題 ɾɾɾɾɾɾɾɾʂ

18. AWSアカウント管理の課題

19. 課題への対応

20. 課題への対応 • 複数のAWSアカウントを⼀元管理するの に役⽴つサービス • 新規アカウントの作成、請求の簡素化に も役⽴つ • 他のAWSサービスと統合しており、管理 するアカウントにわたって設定管理する

    ことも可能

21. AWSアカウント管理の課題 • アカウントの分離の進めていくにあたっては Landing Zone の 考え⽅を参考にして進めている • Landing Zone

    はベストプラクティスに基づいたマルチアカウ ント環境のセットアップをサポートする仕組み ※参考 https://aws.amazon.com/jp/builders-flash/202007/multi-accounts-best-practice/ https://aws.amazon.com/jp/builders-flash/202009/multi-accounts-best-practice-2/

22. 課題への対応 • AWS Organizations を使ってまずはアカウントをステージング とサンドボックスに分割することにした • ステージングアカウントで疑似本番環境を作り、開発とテス トをしやすくする •

    サンドボックスアカウントでAWSの習熟度を上げつつ個⼈検 証をやりやすくする

23. 課題への対応

24. 課題への対応 • リソース管理は IaC 化して対応 • AWS の利⽤料は複数アカウント分を redash で可視化

    • CloudTrail,Config,GuardDuty などの設定

25. 今後やりたいこと

26. 今後やりたいこと • アカウントのログイン⽅式が直ログイン になっているのをAWS Single Sign-On (SSO)を使っていきたい • GSuite をIdPに委任し、SAML認証でロ

    グインしていく⽅式 • AWSだけでなく業務アプリケーション もSSOで扱えるのも利点

27. 今後やりたいこと • SSOで扱えるアプリケーションの⼀例 • Slack • GitHub • Zoom •

    Office 365 など

28. 今後やりたいこと • アカウント分割もLanding Zoneの考え⽅を参考にさらに分 割を進める • ログ集約アカウントの作成 • Organizations SCPやConfig

    Rulesを使ってガードレール の設置

29. まとめ

30. まとめ • AWS の活⽤拡⼤に合わせてアカウントも⽤途にあったものに分 割していく • ⼩さな組織ほど1アカウントでやらず Oraganizations を活⽤し てアカウントを管理していくのがおすすめと思った

    • SSO も⼀緒に活⽤して AWS だけでなく業務アプリも管理して いくようにする

31. Thank you!