ガバメントクラウド単独利用方式におけるIaC活用

ガバメントクラウド単独利用方式におけるIaC活用 2024/10/28 JAWS-UG 名古屋「IaC運用のリアルを語りたい！LT大会」 1

Profile 2 名古屋市総務局デジタル改革推進課課長補佐（システム標準化担当）高橋広和 ◆ 1998年名古屋市入庁区役所市民課
住基・戸籍・印鑑業務従事 ◆ ２００２年健康福祉局医療福祉課ホスト分散化対応、後期高齢者医療システム開発 ◆ 2009年健康福祉局総務課福祉総合情報システム保守運用 ◆ 2012年愛知県後期高齢者医療広域連合マイナンバー制度導入対応 ◆ 2017年健康福祉局保険年金課保険年金システム保守運用 ◆ 2022年現職担当業務：基幹業務システムのガバメントクラウドCoE 趣味：読書特技：AWSチョットワカル、VB系コーディングモットー：楽をするための労力は惜しまない好きなAWSサービス：Trangit Gateway X ：https://twitter.com/techniczna Note：https://note.com/techniczna/

名古屋市のガバクラ移行の取組について • 【導入事例】名古屋市様稼働率99.99%のガバメントクラウド接続環境を実現！ https://www.jt-tsushin.jp/articles/case/platform-tokai-com-20241008 • 政令市・中核市・特別区CIOフォーラム2024年5月21～22日会合標準化を機にしがらみを断ち全体最適化へ https://project.nikkeibp.co.jp/jpgciof/atcl/19/00002/00013/?P=8
• 名古屋市が進めるAWSを活用したガバメントクラウドの現状とは https://news.mynavi.jp/techplus/article/20241023-3050317/ • AWSがガバメントクラウドへの取り組みを説明、名古屋市の事例も https://cloud.watch.impress.co.jp/docs/news/1633596.html • AWSジャパン、自治体のガバメントクラウド移行をスキル育成や情報提供で支援ガバクラを先行利用する名古屋市が取り組みを説明 https://it.impress.co.jp/articles/-/26995 • 移行期限迫るガバクラ、自治体・支援事業者の現状は？ 300の自治体で利用されるAWSの場合 https://ascii.jp/elem/000/004/230/4230115/ 3

ガバメントクラウドとは何か普通のAWSとどう違うのか？ 4

ガバメントクラウドとは？ • デジタル庁が整備する、自治体や政府共通のクラウドサービスの利用環境 • AWS、GC、Azure、OCI、さくらのクラウド※の５つ（2024年9月現在） ※ さくらのクラウドは2025年度までに必要な要件を満たすことが前提 •
名古屋市はAWSを利用 5

普通のAWSとどう違うの？ • １つの巨大なAWS Organizationで運用 ➢ デジタル庁がマスターアカウント、利用団体がメンバーアカウント • ユーザーは全てデジタル庁が管理 ➢ デジタル庁が管理するオンボーディングサイト（GCAS）をIdPとして、IAM
Identity Centerで SSOアクセスを行う ➢ IAMユーザーは原則利用禁止 ➢ GCAS登録時にマイナンバーカードによる本人確認が必要 • SCPで一部サービスを制限 ➢ 海外リージョンの利用やインターネットからのマイナンバーデータへのアクセス等 • 一定のセキュリティガードレールを確保 ➢ AWS BLEAによる自動適用テンプレート、必須適用テンプレート 6

単独利用方式と共同利用方式の違い 7

単独利用方式と共同利用方式の違い 8 単独利用方式共同利用方式運用主体地方公共団体事業者導入方法地方公共団体がCSPや運用ルールを決定し、調達仕様に盛り込む
事業者がCSPや運用ルールを決定し地方公共団体に提案利用方法地方公共団体が事業者用の環境を用意し事業者はその環境にシステムを構築事業者が共同利用環境を用意し地方公共団体はその環境に接続名古屋市はこちら

単独利用方式の構成 9

単独利用方式の構成イメージ庁内ネットワーク運用管理環境（ネットワークアカウント） AシステムASP環境（単独利用） AシステムVPC 10 BシステムASP環境（単独利用） BシステムVPC
CシステムASP環境（単独利用） CシステムVPC DシステムASP環境（単独利用） DシステムVPC EシステムASP環境（単独利用） EシステムVPC FシステムASP環境（単独利用） FシステムVPC IシステムASP環境（単独利用） IシステムVPC HシステムASP環境（単独利用） HシステムVPC JシステムASP環境（単独利用） JシステムVPC GシステムASP環境（単独利用） GシステムVPC KシステムASP環境（単独利用） KシステムVPC LシステムASP環境（単独利用） LシステムVPC OシステムASP環境（単独利用） OシステムVPC NシステムASP環境（単独利用） NシステムVPC PシステムASP環境（単独利用） PシステムVPC MシステムASP環境（単独利用） MシステムVPC QシステムASP環境（単独利用） QシステムVPC RシステムASP環境（単独利用） RシステムVPC

単独利用方式の運用の課題 • 最終的に数十ものシステムの環境が必要 • ASPベンダが全部違う • Organizations/Control Tower は使えない •
全体統制と環境払出をどうするか？ 11

そうだ、名古屋市もテンプレート作ろう！ 12

実際に作ったのは統合運用管理補助事業者（NEC）さんです 13

名古屋統制テンプレートの内容と適用 14

【デジタル庁】アカウントの払出庁内ネットワーク運用管理環境（ネットワークアカウント） AシステムASP環境（単独利用） 15 Resolver Endpoints

【ASP】デジタル庁必須適用テンプレートの適用庁内ネットワーク運用管理環境（ネットワークアカウント） AシステムASP環境（単独利用） 16 Config CloudTrail Trusted
Advisor IAM Budgets SNS GuardDuty Security Hub AWS CDK または Service Catalogで適用 Resolver Endpoints

【ASP】名古屋市統制テンプレートの適用① 庁内ネットワーク運用管理環境（ネットワークアカウント） AシステムASP環境（単独利用） 17 Config CloudTrail Trusted
Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL AWS CDK で適用 CloudWatch ロググループ

【ASP】名古屋市統制テンプレートの適用② 庁内ネットワーク運用管理環境（ネットワークアカウント） AシステムASP環境（単独利用） 18 Config CloudTrail Trusted
Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL Inspector Hosted zone Private Host zone を手動で作成 CloudWatch ロググループ Inspectorを手動で有効化

【ASP/名古屋市】名古屋市統制テンプレートの適用③ 名古屋市（統合運用管理補助事業者） ASPベンダアカウントID VPCID サブネットID Route53ホストゾーンID TGW アタッチメント用
Jsonファイル ① ②

【ASP】名古屋市統制テンプレートの適用④ 庁内ネットワーク運用管理環境（ネットワークアカウント） AシステムASP環境（単独利用） 20 Config CloudTrail Trusted
Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL Inspector Hosted zone TGWリソース共有の承認 Attachment Attachment CloudFormationでJsonファイルをアップロードしてデプロイ CloudWatch ロググループ

【名古屋市】名古屋市統制テンプレートの適用⑤ 庁内ネットワーク運用管理環境（ネットワークアカウント） AシステムASP環境（単独利用） 21 Config CloudTrail Trusted
Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL Inspector Hosted zone Host zone の関連付け Attachment の承認 Attachment Attachment オンプレDNS CloudWatch ロググループ

名古屋市統制テンプレートの適用⑥ • 他にも以下の作業を実施 ➢ASP環境に運用管理アカウント保守用のロールを作成 ➢運用管理環境Detectiveの招待と承諾 ➢運用管理環境へのCloudWatch ログ集約 ➢運用管理環境プライベートCAの共有設定 22

今後の展望 • 三層分離モデル変更に伴うテンプレート更新（α´モデルからβ´モデルへ） • ディザスタリカバリへのIaC活用を検討 23

ご清聴ありがとうございました！ 24

ガバメントクラウド単独利用方式におけるIaC活用

ガバメントクラウド単独利用方式におけるIaC活用

高橋広和

More Decks by 高橋広和

Other Decks in Technology

Featured

Transcript