AWS IAM Identity Center、便利だなー、と思います。 Organization 有効化が前提なので、組織下でないと利用が難しいと思いきや、方法次第で然程コストをかけずに活用できそうだ、と最近気がつきました。 業務委託メンバーが主力だったり、カンファレンスの機会のたびに集合・解散を繰り返すような流動的な開発組織においても利用できるのではないのかと思うこのメソッドの概要と運用の事例を、ご紹介できればと思います。
業務委託やコミュニティメンバーでも活用できるIAM Identity Center2022/10/08@sogaohhttps://jawsdays2022.jaws-ug.jp/1
View Slide
About Me1月 理事、5月 Staff3月 設立、代表社員6月〜 既存WebサービスリニューアルプロジェクトにおけるSREロール、複業でクラウドインフラ・CI/CDの構築・運用サポートなどHisashi SOGASRE NEXT Assoc. SRE NEXT 2022ant-in-giant G.K.2
Recent Activity3
AGENDAはじめにMain組織にSSO設定Main組織配下にFree組織を設定Free組織メンバーへのSSO設定この方法の発展おわりに資料は公開してあります -> ※1.履歴が増殖するため、シークレットウィンドウでご覧ください（Chromeを推奨）※2.ところどころの青の文字はリンクになっています※3.スペースで次のページに進みます（[o]でOverviewが見れます）)(はダウンロードしたPDFならリンクに飛べるのでご利用ください)https://pres.ant-in-giant.llc/slide/20221008SpeakerDeck版4
はじめにMain組織にSSO設定Main組織配下にFree組織を設定Free組織メンバーへのSSO設定この方法の発展おわりに5
状況想定Main組織 :プロダクトAを運営する会社企画・デザイン・開発の部署あり。小人数ではないGoogle Workspace高めエディション (*1)業務委託メンバー数名ほど（リモート・関東）Google Workspace Business Starter協力会社メンバー数名ほど（リモート：関東以外）IdP特になしカレンダー共有は個人のGmailなど(*1) refs: Google Workspace（旧称 G Suite）:お支払いプラン6
IAM Identity Center導入のモチベーションアカウント管理（入社/退職対応）が大変業務委託・協力会社メンバー契約開始終了もあるアクセスキー・シークレットキー漏洩のリスクログイン操作の手間を減らしたい不要な IAMユーザーを作りたくない時流に乗りたい※ IAM Identity Centerは以降 SSOと表現します（長いので）※ Google Workspaceは以降 GWと表現します（長いので）7
課題解決への一手GW高めエディションに下位組織を設けて業務委託・協力会社メンバーをそこに投入この下位組織には Google Cloud Identity Free(以降 GCIF)の無料ライセンスを割り当てる (*2)※ 以降、この下位組織を Free組織 と表現します[デメリット]：個々のメンバーが管理するアカウントが増える業務委託・協力会社、副業・アルバイト・…(*2) refs: (2021.11.06)完全無料のIDaaS！？Google Cloud Identity Freeを試してみる8
はじめにMain組織にSSO設定Main組織配下にFree組織を設定Free組織メンバーへのSSO設定この方法の発展おわりに9
組織と AWSの紐付け管理アカウントで AWS Organizationsを有効化を確認したうえで、SSO (*3)を有効化IDソースを選択するに GWはないので、手動で SAML連携設定を行う (*4)(*3) IAM Identity Center(*4)ガイド (2022/8/29時点) :・・・以下↓、注意点全面英語、画面が最新でないGoogle GCP - create Directory Service APIから AWS SSO - Check ProvisioningまではオプショナルDeleting AWS resources deployed in this labはしない前提条件サポートされている IDプロバイダーAWS Control Tower Workshops > … > Google Workspace10
許可セット (IAM)の準備ユーザー追加ユーザー名 と Eメールアドレス は同じにするユーザーが所属するグループを作成権限（≒許可セット）がわかりやすいようにすると良い許可セットを作成事前定義された許可セットから選択 (*5) orカスタマイズされたIAMポリシー（カスタム許可セット）(*6)(*5) refs: (※ Read-only accessが外れている)(*6) refs: , , … インラインポリシーを作りこなせると強そうAWS managed policies for job functionsManaged policies and inline policies AWS services that work with IAM11
許可セットを割り当てるSSOアクセスを行いたい AWSアカウント に レ「ユーザーまたはグループを割り当て」を行う割り当てたいグループ orユーザーに レ して「Next」割り当てたい許可セットに レ して「Next」確認して「送信」とても丁寧で詳しい説明ブログ：“え、IAMユーザーを作らなくてもマネジメントコンソールにログインできるの!?”(2022.01.19)(2021.11.26)シングルサインオン実践編シングルサインオン考え方編12
はじめにMain組織にSSO設定Main組織配下にFree組織を設定Free組織メンバーへのSSO設定この方法の発展おわりに13
GCIFの開始特権管理者で、GW管理画面に入るお支払い >その他のサービスを… > Cloud IdentityCloud Identity (*7)を「開始」(*7) refs: Cloud Identityとは | Google Workspace管理者ヘルプ14
Free組織にGCIFライセンス割当お支払い >ライセンスの設定Main組織の 自動ライセンス ->オフ (*8)ディレクトリ >組織部門Main組織の配下に新しいFree組織を作成する (*9)(再び)お支払い >ライセンスの設定作成したFree組織の自動ライセンス オフ を確認(*8) refs: (*9) refs: 設定時に Google Workspaceライセンスの自動割り当てを無効にする | Google Workspace管理者ヘルプ組織部門を追加する | Google Workspace管理者ヘルプ15
Free組織にユーザー追加ディレクトリ >ユーザー >新しいユーザーの追加ユーザー情報の設定姓・名・メールアドレス・ドメインユーザーの…、組織部門、…を管理するを展開Free組織を選択して「新しいユーザーの追加」ユーザー名・パスワードを控える（伝える）お支払い >サブスクリプション を確認有料ライセンス割り当て数が増えていたら直す (*10)(*10) refs:ライセンス >ライセンスの割り当て、削除、再割り当て | Google Workspace管理者ヘルプ16
はじめにMain組織にSSO設定Main組織配下にFree組織を設定Free組織メンバーへのSSO設定この方法の発展おわりに17
SSOでFree組織メンバー追加Main組織と同様にユーザー追加ユーザー名 と Eメールアドレス は同じにするMain組織と同様にグループにユーザーを追加既存であればこの段階で許可セットが割り当てられる必要に応じて、許可セットを割り当て新規グループ (orユーザー)の場合など18
Main組織と同様にできることAWSアクセスポータルの URLから SSOGWからのマネコン接続も権限に応じた、AWSリソースの利用デフォルトの PowerUserAccessのみだとIAMリソース操作に制約があるので必要に応じて IAMFullAccessポリシーを請求管理画面への閲覧制限なども許可セット設定次第で可能19
当初のモチベーション等への達成アカウント管理の簡素化 ○アクセスキー類漏洩のリスク低減 ◎ログイン操作の手間低減 ○余計な IAMユーザー作成不要 ○時流に乗る ◎GWのコストは（ほぼ）増えていない ○20
はじめにMain組織にSSO設定Main組織配下にFree組織を設定Free組織メンバーへのSSO設定この方法の発展おわりに21
マネコンへの入り口は開いたを見直すを抑えにいく大変そうだ・・・少しずつやるのが良さそう (*11)組織のみんなにAWSをうまく使ってもらえればそれでOK(*11) refs: : (2022.08.26)資料AWSアカウント作成時にやるべきことマルチアカウント管理の基本プロダクトと組織の成長を見据えたスマートラウンドの AWSマルチアカウント戦略AWS Startup Community Conference 202222
GCIF以外の方法も知るフェデレーティッド シングルサインオン (*12) x踏み台アカウントパターン (*13)-> AWS SSO (IAM Identity Center)よりは煩雑となるものの、IAMユーザーはほぼ不要にできる(個人的には)MFA不要な方法に寄せたい(*12) refs: (*13) refs:Google Workspaceを用いて AWSへのフェデレーティッド シングルサインオンをセットアップする方法AWSのマルチアカウント管理ことはじめ ログインの一元化の設計23
よりよい管理の模索IaCで状態管理ModuleModuleなど …IAMインラインポリシーを自在に使いたいからの果てなき道…cloudposse/terraform-aws-ssocloudposse/aws-google-authAWS Identity and Access ManagementDocumentation24
はじめにMain組織にSSO設定Main組織配下にFree組織を設定Free組織メンバーへのSSO設定この方法の発展おわりに25
まとめ (?)AWS SSOのはじめかた、それによって解決できる課題GCIFという IdPの紹介、利用する際の注意点複数の情報・技術を組み合わせてみることから生まれる発展可能性26
余談27
Endお気づきの点あればまで@sogaoh28
sogaoh
moriyuya
nishiuma
soracom
ytaisei
kmwebnet
junki
hk_shino
kohbis
ewolff
hiashisan
guchey
aleyda
chrisshort
aarron
soudai
rocio
mraible
jponch
sonatard
tmm1
zakiyama
colly
productmarketing