20210914_topgate_lt_yanagisawa

Transcript

1. あなたの顧客、2段階認証できてますか？ ～顧客のGCP環境に2段階認証を導入した話～ Future Corporation Technology Innovation Group 柳澤 隆太郎
2. Index 1. あなたは、誰？ 2. どんなお仕事してるの？ 3. 2段階認証ってなに？@GCP 4. 組織へ新しい仕組みを導入するということ 5. その後
3. あなたは、誰？
4. 私はこんな人です おなまえ: 柳澤 隆太郎 (やなぎさわ りゅうたろう) 社会人歴: 7年目 最近の悩み: OJTトレーニーだった鈴木さんに技術面で 追い越されつつある気がしていること
5. Working History (Before FUTURE) 2014 前職入社(新卒) 航空管制システム - 顧客折衝 - C/C++ - Linux - Windows 2018 Future入社 鉄道会社向けシステム - 顧客折衝 - F5 BIG-IP - Splunk - Python Infra 鉄道向けシステム PoC - Java - DB 2016 2017 インフラ部隊へ異動 Front Application Middleware Application Infra Front 担当 領域
6. Working History (Since FUTURE) 2018 小売業 2021 製造業 地銀向け勘定系 2019 2020 自社サービス (注) Project数がだいぶ増えてきたので一部省略していますが、 おおよその技術スタックのイメージがつけばと 󰢛 小売業
7. どんなお仕事してるの？
8. どんなお仕事してるの？ 企画 製造 販売 Project A Project B 顧客の ビジネス プロセス Project C Project Z SRE-T ・・・ 支援 支援 支援
9. どんなお仕事してるの？ 企画 製造 販売 Project A Project B 顧客の ビジネス プロセス Project C Project Z SRE-T ・・・ 支援 支援 支援
10. 2段階認証ってなに？@GCP
11. ？ みなさんの会社、顧客の組織で 2段階認証は設定されてますか？
12. 2段階認証とはなんぞ？(おさらい) 知識 所有 生体 • パスワード、暗証番号 • 合言葉 • スマホ、タブレット • 物理鍵 • 社員証 • 指紋、静脈 • 虹彩、顔 認 証 の 三 要 素
13. 顧客における開発環境の図 Project A Project B Bastion-A Compute Engine Bastion-B Compute Engine Project A開発メンバ Project B開発メンバ Other Project Resources Other Project Resources Kubernetes Cloud SQL Kubernetes Cloud SQL etc... etc...
14. 顧客における開発環境の図 Project A Project B Bastion-A Compute Engine Bastion-B Compute Engine Project A開発メンバ Project B開発メンバ Other Project Resources Other Project Resources Kubernetes Cloud SQL Kubernetes Cloud SQL etc... etc... 監査・管理すべき踏み台サーバの数は Project数に比例して増加
15. Projectの増加とともに生えてくる踏み台 (一部共通化されているものもありますが …)
16. というわけで
17. ここに プロジェクト の かず だけ ふえた ふみだい サーバが あるじゃろ？これを… ( ＾ω＾) ⊃　　　　　⊂
18. こうして… ( ＾ω＾) terraform≡⊃⊂≡destroy
19. こうじゃ！！(Project共通踏み台の誕生) Project A Project B Common Bastion Compute Engine Project A開発メンバ Project B開発メンバ Other Project Resources Other Project Resources Kubernetes Cloud SQL Kubernetes Cloud SQL etc... etc... (注) Project側で用意された踏み台については多すぎてまだ全部削除しきれていません …
20. こうじゃ！！(Project共通踏み台の誕生) Project A Project B Common Bastion Compute Engine Project A開発メンバ Project B開発メンバ Other Project Resources Other Project Resources Kubernetes Cloud SQL Kubernetes Cloud SQL etc... etc... どうせならセキュリティも強化してしまおう！
21. 踏み台に導入したセキュリティ対策 IAP(Identity Aware Proxy) 2段階認証
22. 踏み台に導入したセキュリティ対策 IAP(Identity Aware Proxy) 2段階認証
23. GCEの2段階認証に必要なモノ metadataの設定 @GCEインスタンス enable-oslogin-2fa =true Googleアカウントの2 段階認証設定 enable-oslogin-2fa=true
24. 個人Googleアカウントの2段階認証と同じ GCPにおける2段階認証
25. 個人Googleアカウントの2段階認証と同じ GCPにおける2段階認証 AWS IAMにおける2段階認証と根本的に異なる (AWSはコンソールで管理)
26. じゃあ、ユーザの設定管理はど うする？
27. Cloud Identity を使います！！一件落着！！ 詳しくはこちら ↓↓
28. ところが
29. Cloud Identityの仕様(制約) ポリシーを持つことができるものは「組織」と「例外グループ」のみ 2段階認証を強制するポリシーには猶予期間の設定が可能 例外グループは組織一つにつき一つのみ作成可能 設定できるのは特定の期日のみ e.g. 期日が9/15の場合、9/14に払い出したアカウントでも 即座に対応しないと 翌日アカウントが停止
30. 柳 Googleさん、なにかいい運用方法はありませんか？ こうすればできるよ！ ↓↓ 組織(2段階認証していないユーザは即ロック) 例外グループ (2段階認証設定が猶予される) 設定済みの人たち 設定していない人 (ロック) ① ②
31. 組織(2段階認証していないユーザは即ロック) 例外グループ (2段階認証設定が猶予される) 設定済みの人たち 設定していない人 (ロック) ① ② ユーザアカウントが100をゆうに超える組織でこの 運用はかなり厳しい…
32. 途中、よくばってやろうとした全ユーザへの適用はでき なかったけど 最低限踏み台のセキュリティは確保できたので
33. 組織へ新しい仕組みを導入 するということ
34. まとめ 新しい仕組みの導入には技術それ単体の評価のみならず 導入する組織の規模・レベル などを加味し、 容量・用法(スコープなど) を適切にお守りのうえ お使い(導入)ください
35. その後
36. ご清聴 ありがとうございました！