Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
ガバメントクラウド単独利用方式におけるIaC活用
Search
高橋広和
October 28, 2024
Technology
4
600
ガバメントクラウド単独利用方式におけるIaC活用
2024/10/28 JAWS-UG 名古屋 「IaC運用のリアルを語りたい!LT大会」の登壇資料です。
高橋広和
October 28, 2024
Tweet
Share
More Decks by 高橋広和
See All by 高橋広和
20250627__今ガバ_ガバメントクラウドでの請求支払事務について_PDF用.pdf
techniczna
1
54
GCASアップデート(202501-202504)
techniczna
1
530
ガバメントクラウド概要
techniczna
3
1.5k
Other Decks in Technology
See All in Technology
KiCadでPad on Viaの基板作ってみた
iotengineer22
0
300
Should Our Project Join the CNCF? (Japanese Recap)
whywaita
PRO
0
340
怖くない!はじめてのClaude Code
shinya337
0
390
Operating Operator
shhnjk
1
580
Zero Data Loss Autonomous Recovery Service サービス概要
oracle4engineer
PRO
2
7.7k
タイミーのデータモデリング事例と今後のチャレンジ
ttccddtoki
6
2.4k
LangSmith×Webhook連携で実現するプロンプトドリブンCI/CD
sergicalsix
1
230
american airlines®️ USA Contact Numbers: Complete 2025 Support Guide
supportflight
1
110
自律的なスケーリング手法FASTにおけるVPoEとしてのアカウンタビリティ / dev-productivity-con-2025
yoshikiiida
1
16k
「クラウドコスト絶対削減」を支える技術—FinOpsを超えた徹底的なクラウドコスト削減の実践論
delta_tech
4
170
スタートアップに選択肢を 〜生成AIを活用したセカンダリー事業への挑戦〜
nstock
0
170
Glacierだからってコストあきらめてない? / JAWS Meet Glacier Cost
taishin
1
160
Featured
See All Featured
Put a Button on it: Removing Barriers to Going Fast.
kastner
60
3.9k
Building Flexible Design Systems
yeseniaperezcruz
328
39k
RailsConf 2023
tenderlove
30
1.1k
Large-scale JavaScript Application Architecture
addyosmani
512
110k
A designer walks into a library…
pauljervisheath
207
24k
Facilitating Awesome Meetings
lara
54
6.4k
[RailsConf 2023] Rails as a piece of cake
palkan
55
5.7k
The Straight Up "How To Draw Better" Workshop
denniskardys
234
140k
Visualizing Your Data: Incorporating Mongo into Loggly Infrastructure
mongodb
46
9.6k
Stop Working from a Prison Cell
hatefulcrawdad
271
21k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
331
22k
Adopting Sorbet at Scale
ufuk
77
9.5k
Transcript
ガバメントクラウド単独利用方式 におけるIaC活用 2024/10/28 JAWS-UG 名古屋 「IaC運用のリアルを語りたい!LT大会」 1
Profile 2 名古屋市総務局デジタル改革推進課 課長補佐(システム標準化担当) 高橋 広和 ◆ 1998年 名古屋市入庁 区役所市民課
住基・戸籍・印鑑業務従事 ◆ 2002年 健康福祉局医療福祉課 ホスト分散化対応、後期高齢者医療システム開発 ◆ 2009年 健康福祉局総務課 福祉総合情報システム保守運用 ◆ 2012年 愛知県後期高齢者医療広域連合 マイナンバー制度導入対応 ◆ 2017年 健康福祉局保険年金課 保険年金システム保守運用 ◆ 2022年 現職 担当業務:基幹業務システムのガバメントクラウドCoE 趣味:読書 特技:AWSチョットワカル、VB系コーディング モットー:楽をするための労力は惜しまない 好きなAWSサービス:Trangit Gateway X :https://twitter.com/techniczna Note:https://note.com/techniczna/
名古屋市のガバクラ移行の取組について • 【導入事例】名古屋市様 稼働率99.99%のガバメントクラウド接続環境を実現! https://www.jt-tsushin.jp/articles/case/platform-tokai-com-20241008 • 政令市・中核市・特別区CIOフォーラム2024年5月21~22日会合 標準化を機にしがらみを断ち全 体最適化へ https://project.nikkeibp.co.jp/jpgciof/atcl/19/00002/00013/?P=8
• 名古屋市が進めるAWSを活用したガバメントクラウドの現状とは https://news.mynavi.jp/techplus/article/20241023-3050317/ • AWSがガバメントクラウドへの取り組みを説明、名古屋市の事例も https://cloud.watch.impress.co.jp/docs/news/1633596.html • AWSジャパン、自治体のガバメントクラウド移行をスキル育成や情報提供で支援 ガバクラを先行利 用する名古屋市が取り組みを説明 https://it.impress.co.jp/articles/-/26995 • 移行期限迫るガバクラ、自治体・支援事業者の現状は? 300の自治体で利用されるAWSの場合 https://ascii.jp/elem/000/004/230/4230115/ 3
ガバメントクラウドとは何か 普通のAWSとどう違うのか? 4
ガバメントクラウドとは? • デジタル庁が整備する、自治体や政府共通のクラウド サービスの利用環境 • AWS、GC、Azure、OCI、さくらのクラウド※の5つ (2024年9月現在) ※ さくらのクラウドは2025年度までに必要な要件を満たすことが前提 •
名古屋市はAWSを利用 5
普通のAWSとどう違うの? • 1つの巨大なAWS Organizationで運用 ➢ デジタル庁がマスターアカウント、利用団体がメンバーアカウント • ユーザーは全てデジタル庁が管理 ➢ デジタル庁が管理するオンボーディングサイト(GCAS)をIdPとして、IAM
Identity Centerで SSOアクセスを行う ➢ IAMユーザーは原則利用禁止 ➢ GCAS登録時にマイナンバーカードによる本人確認が必要 • SCPで一部サービスを制限 ➢ 海外リージョンの利用やインターネットからのマイナンバーデータへのアクセス等 • 一定のセキュリティガードレールを確保 ➢ AWS BLEAによる自動適用テンプレート、必須適用テンプレート 6
単独利用方式と 共同利用方式の違い 7
単独利用方式と共同利用方式の違い 8 単独利用方式 共同利用方式 運用主体 地方公共団体 事業者 導入方法 地方公共団体がCSPや運用ルールを決定 し、調達仕様に盛り込む
事業者がCSPや運用ルールを決定し 地方公共団体に提案 利用方法 地方公共団体が事業者用の環境を用意し 事業者はその環境にシステムを構築 事業者が共同利用環境を用意し 地方公共団体はその環境に接続 名古屋市はこちら
単独利用方式の構成 9
単独利用方式の構成イメージ 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) AシステムVPC 10 BシステムASP環境(単独利用) BシステムVPC
CシステムASP環境(単独利用) CシステムVPC DシステムASP環境(単独利用) DシステムVPC EシステムASP環境(単独利用) EシステムVPC FシステムASP環境(単独利用) FシステムVPC IシステムASP環境(単独利用) IシステムVPC HシステムASP環境(単独利用) HシステムVPC JシステムASP環境(単独利用) JシステムVPC GシステムASP環境(単独利用) GシステムVPC KシステムASP環境(単独利用) KシステムVPC LシステムASP環境(単独利用) LシステムVPC OシステムASP環境(単独利用) OシステムVPC NシステムASP環境(単独利用) NシステムVPC PシステムASP環境(単独利用) PシステムVPC MシステムASP環境(単独利用) MシステムVPC QシステムASP環境(単独利用) QシステムVPC RシステムASP環境(単独利用) RシステムVPC
単独利用方式の運用の課題 • 最終的に数十ものシステムの環境が必要 • ASPベンダが全部違う • Organizations/Control Tower は使えない •
全体統制と環境払出をどうするか? 11
そうだ、名古屋市も テンプレート作ろう! 12
実際に作ったのは統合運用管理 補助事業者(NEC)さんです 13
名古屋統制テンプレート の内容と適用 14
【デジタル庁】アカウントの払出 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) 15 Resolver Endpoints
【ASP】デジタル庁必須適用テンプレートの適用 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) 16 Config CloudTrail Trusted
Advisor IAM Budgets SNS GuardDuty Security Hub AWS CDK または Service Catalogで適用 Resolver Endpoints
【ASP】名古屋市統制テンプレートの適用① 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) 17 Config CloudTrail Trusted
Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL AWS CDK で適用 CloudWatch ロググループ
【ASP】名古屋市統制テンプレートの適用② 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) 18 Config CloudTrail Trusted
Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL Inspector Hosted zone Private Host zone を手動で作成 CloudWatch ロググループ Inspectorを 手動で有効化
【ASP/名古屋市】名古屋市統制テンプレートの適用③ 名古屋市 (統合運用管理補助事業者) ASPベンダ アカウントID VPCID サブネットID Route53ホストゾーンID TGW アタッチメント用
Jsonファイル ① ②
【ASP】名古屋市統制テンプレートの適用④ 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) 20 Config CloudTrail Trusted
Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL Inspector Hosted zone TGWリソース共有の承認 Attachment Attachment CloudFormationでJsonファイルを アップロードしてデプロイ CloudWatch ロググループ
【名古屋市】名古屋市統制テンプレートの適用⑤ 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) 21 Config CloudTrail Trusted
Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL Inspector Hosted zone Host zone の関連付け Attachment の承認 Attachment Attachment オンプレDNS CloudWatch ロググループ
名古屋市統制テンプレートの適用⑥ • 他にも以下の作業を実施 ➢ASP環境に運用管理アカウント保守用のロールを作成 ➢運用管理環境Detectiveの招待と承諾 ➢運用管理環境へのCloudWatch ログ集約 ➢運用管理環境プライベートCAの共有設定 22
今後の展望 • 三層分離モデル変更に伴うテンプレート更新 (α´モデルからβ´モデルへ) • ディザスタリカバリへのIaC活用を検討 23
ご清聴ありがとう ございました! 24