Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
AWS Organizationsありなしパターン別AWSのマルチアカウント管理Tips
Search
t-kikuchi
August 01, 2024
Technology
1
220
AWS Organizationsありなしパターン別AWSのマルチアカウント管理Tips
AWS Organizationsありなしパターン別AWSのマルチアカウント管理Tips
t-kikuchi
August 01, 2024
Tweet
Share
More Decks by t-kikuchi
See All by t-kikuchi
JAWSPANKRATION2024-ECS Best Practice All on board(english)
tkikuchi
0
430
JAWSPANKRATION2024-ECS Best Practice All on board(japanese)
tkikuchi
0
240
AWSOrganizationsユースケースで学ぶAWSアカウント管理ベストプラクティス
tkikuchi
1
330
GuardDutyとSysdigのランタイムセキュリティ機能を比較してみる
tkikuchi
1
1.3k
AWS Healthの通知の実装について考えてみた
tkikuchi
0
1.7k
developersio-2023-aws-api-publication-checklist
tkikuchi
11
8.9k
「クラスメソッドメンバーズ」で AWSをよりお得に! 活用のコツをまとめてみた
tkikuchi
0
1.5k
Other Decks in Technology
See All in Technology
Oracle Database 23ai 新機能 #3 Oracle Globally Distributed Database(GDD)
oracle4engineer
PRO
1
160
EitherT_with_Future
aoiroaoino
1
840
分野に潜むツールの紹介
pojiro
1
340
Chunk computing
matyo91
0
270
疎通2024
sadnessojisan
5
790
標準最高!標準はださくないぞ! at fukuoka.ts #1
yoiwamoto
0
150
エンジニアリングマネージャーが紐解く、事業視点から組織文化まで、包括的アプローチの探求 / READYFOR
9ma3r
14
2.3k
四国クラウドお遍路 2024 in 高知 オープニング
yukataoka
0
100
React Aria で実現する次世代のアクセシビリティ
ryo_manba
4
790
Envoy External AuthZとgRPC Extensionを利用した「頑張らない」Microservices認証認可基盤
andoshin11
0
180
強いチームを夢見て-PMからSREに転身して1年の振り返り / 20240906_bengo4_sre
bengo4com
2
790
OCI コスト管理
ocise
1
130
Featured
See All Featured
RailsConf 2023
tenderlove
26
790
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
122
18k
Art, The Web, and Tiny UX
lynnandtonic
294
20k
Save Time (by Creating Custom Rails Generators)
garrettdimon
PRO
22
580
Building a Scalable Design System with Sketch
lauravandoore
458
32k
Designing the Hi-DPI Web
ddemaree
278
34k
The Brand Is Dead. Long Live the Brand.
mthomps
53
37k
Producing Creativity
orderedlist
PRO
340
39k
The Invisible Customer
myddelton
119
13k
Testing 201, or: Great Expectations
jmmastey
35
6.9k
Building an army of robots
kneath
302
42k
Side Projects
sachag
451
42k
Transcript
AWS Organizationsありなしパターン別 AWSのマルチアカウント管理Tips クラスメソッド株式会社 AWS事業本部コンサルティング部 菊池 聡規 1
スライドは後で入手することが出来ますので 発表中の内容をメモする必要はありません。 写真撮影をする場合は フラッシュ・シャッター音が出ないようにご配慮ください
3 自己紹介 • 【名前】 菊池 聡規 • 【所属】 AWS 事業本部
コンサルティング部 • 【キャリア】 金融機関向けオンプレのインフラエンジニア10年ほど→ 自社Webサービスをもつ企業で3年ほど→ クラスメソッドにジョイン • 【Blog】 https://dev.classmethod.jp/author/tooti/ • 【好きな技術】 コンテナ、Terraform、GitHub Actions, Amazon EventBridge, AWS Step Functions
4 AWSを使う上での悩み こんなお悩みありませんか?
5 よくある課題:混在するシステム • システムが1AWSアカウントに混在
6 よくある課題:権限分割ができてない • 本番環境、誰でも触れちゃう問題
7 これらの課題を解決するには マルチアカウント運用だ!
8 マルチアカウント運用の課題 • マルチアカウントで運用すると今度はマルチアカウントならではの悩み が・・・ ◦ 各AWSアカウントへのログインと権限管理 ◦ AWSアカウントのベース設定の統一 ◦
モニタリング、ログ、リソース等の情報集約 ◦ どうやって各AWSアカウントにルールを敷くか(ガバナンス) ◦ AWSアカウント分割方針 ◦ 各アカウント間のネットワーク接続 ・・・などなど
9 今日はこれらマルチアカウントのお悩み解決の ヒントになる Tipsをお伝え
10 でもAWS Organizations前提なんでしょ?
11 AWS Organizations使用してる場合と そうじゃない場合、 2パターンでお伝えします!
12 各AWSアカウントへのログインと権限管理 • マルチアカウントでのID管理の課題 IDの統合をする必要がある
13 AWS Organizationsを使わないパターン • Jumpアカウントを使ってログイン ※DevelopersIO:マルチアカウントな AWS環境のマネジメントコンソールへのアクセス方法をまとめてみた の図を元に一部改変 ➔ この方式の課題点
◆ 利用者観点 • AWSアカウント範囲でしかIDが統合できてない • スイッチ先AWSアカウント等を各ユーザで管理 ◆ 管理者観点 • AWSアカウントごとのIAM作成変更
14 AWS Organizationsを使わないパターン • 外部IDプロバイダーを使ってログイン ➔ この方式の課題点 ◆ 利用者観点 •
AWS CLI使用に一工夫必要 ◆ 管理者観点 • AWSアカウントごとのIAM作成変更 • AWSアカウントごとにIdPとの信頼 関係を結ぶ必要あり ※DevelopersIO:マルチアカウントな AWS環境のマネジメントコンソールへのアクセス方法をまとめてみた の図を元に一部改変
15 AWS Organizationsを使うと • 外部IDプロバイダーのIDを使ってIAM Identity Centerでログイン ➔ 便利になる点 ◆
利用者観点 • 普段使っているIDでログイン • AWS CLIサポート ◆ 管理者観点 • 各AWSアカウントへのIAMロール の作成・変更が不要 ➔ 設計が必要なポイント ◆ 許可セットの権限設計 ◆ ユーザ、アカウント、許可セットの関連 付け
16 AWSアカウントのベース設定の統一 • マルチアカウントでの各AWSアカウント設定の課題 ➔ 以下のような設定は各アカウントで合わせておきたい(一例) • Amazon GuardDuty設定 •
AWS Security Hub設定 • AWS CloudTrail設定 • AWS Config設定 • Amazon S3ブロックパブリックアクセス AWSアカウント作成 時に毎回初期設定 する必要がある • Amazon Detective設定 • VPC設定 • AWS Resource Access Manager • AWS Backup設定 設定変更の検知 ・ 設定変更防止
◦ Baseline Environment on AWS ▪ AWSが公開しているAWSにおけるセキュリティのベストプラクティ スに沿った設定をデプロイするためのCDKコード ▪ ご参考:AWS環境にセキュアなベースラインを提供するテンプレート「Baseline
Environment on AWS」のご紹介 17 AWS Organizationsを使わないパターン • AWSアカウント作成時の初期設定 ◦ IaCを使用してベースライン設定を構築 ▪ AWSアカウント新規作成時にAWS CloudFormationやTerraform を手動実行 ▪ ただしAWS CloudFormationでサポートされていないような設定も ある(AWS Security Hubのメンバーアカウント招待等) • 自作スクリプト等 で対応する必要あり
18 AWS Organizationsを使わないパターン • 設定変更の検知 ◦ AWS Security Hub: ▪
AWSアカウント内の危険なAWSリソース設定を監視 ◦ AWS Config: ▪ AWSアカウント内の各リソースの設定変更履歴を保持 ▪ 設定変更内容を評価して通知等することも可能 ◦ どちらも非AWS Organizations環境でも、一つの管理用AWSアカウ ントに情報集約することは可能 ➔ 課題点 ◆ 新規作成AWSアカウントごとに 有効化や招待等の設定をする必 要がある
19 AWS Organizationsを使わないパターン • セキュアアカウント(弊社独自サービス) ◦ アカウント払い出し時 に以下のような主要なベースライン設定を実施 ▪ Amazon
GuardDuty有効化 ▪ AWS Security Hub有効化 ▪ AWS CloudTrail有効化 ▪ AWS Config有効化 等々
20 AWS Organizationsを使うと 組織・OU単位で初 期設定を統一 組織・OU単位で設 定変更の検知や防 止を設定 組織という単位 で設
定ができるように OUという単位 で設 定ができるように
21 AWS Organizationsを使うと • AWS Organizations連携サービスによる組織単位の設定 ◦ 組織のメンバーアカウントとしてAWSアカウントを作成すれば自動で 有効化や招待を実行 ◦
AWS Security Hubや Amazon GuardDutyなど多数のAWSサービ スに対応
22 カスタムのベースライン設定を行うときの選択肢 項目 IaC種類 AWS Control Tower要否 参考URL 備考 AWS
CloudFormationSt acksets CloudFormation (CDKで記述するこ とも可能) 不要 https://dev.classmethod .jp/articles/baseline-aut o-deploy-by-cfn-stacks ets/ OU参加時に自動 で実行できる AWS Control Towerのカスタマイ ズ CloudFormationと 設定用yaml 必要 https://dev.classmethod .jp/articles/customizatio ns-for-control-tower/ Account Factory For Terraform Terraform 必要 https://dev.classmethod .jp/articles/ct-account-fa ctory-for-terraform/ Account Factory Customization Service Catalog(CloudFor mation) 必要 https://dev.classmethod .jp/articles/control-tower -account-factory-custo mization/ Baseline Environment on AWS CDK マルチアカウント版 の場合、必要 https://github.com/aws- samples/baseline-envir onment-on-aws/blob/m ain/README_ja.md
23 AWS Organizationsを使うと • AWS Control Tower ◦ AWSアカウント作成時:組織に追加されるAWSアカウントを対象にロ グ集約を自動設定
◦ 設定変更検知・防止:SCPで変更防止が可能に。組織やOU単位で AWS Confingのルールが簡単に適用可能 ※AWS Black Belt Online Seminar AWS Control Tower 基礎編 より引用
24 マルチアカウントいいね 😀 ってなりましたよね?
25 AWS Organizationsに興味が出てきたという方
26 AWS請求代行サービス(組織管理プランv2) 組織管理プラン v2のポイント • 2024/4より開始した新プラン、従来より更に割引率UP • AWS Organizationsの他、AWS Control
Towerも使用可能※1 ※1 詳細については 弊社サイトにてご確認頂くか、弊社サイトのお問い合わせページよりお問い合わせください。 ※1 中国リージョン、GovCloudは除きます。AWS Marketplaceなど一部のサービスは対象外となります。 AWS全サービス・全リージョン利用料 一律4%OFF 組織管理プランv2
27 マルチアカウントにしたい、 でもどこから手をつけたらいいか・・・ という方
28 事例紹介(塩野義製薬株式会社 様) • 一定のセキュリティレベルを担保しつ柔軟性の高いAWS環境 を構築 • 社内インフラを有効活用したネットワーク構成、ユーザ管理体制 •
組織的なAWS運用体制を構築 。クラスメソッドはチームで支援 • 社内の複数の部署で契約したAWSアカウントが点在 • 分散管理によってBCP、セキュリティリスクを懸念 • 属人的な管理体制からAWS運用の社内リソースが不足 マルチアカウントご支援ポイント • 塩野義製薬全体のAWSアカウントを横断す るセキュリティ監視の一元化 • IAM Identity Centerを使って組織的なア カウントの一元管理と権限分割を実現 お客様の声 「既存の運用や構成を考慮して変更したいも のや追加したい要件・要望などをこちらから 伝え、その都度柔軟に応えていただけまし た。要望を伝えたあとのレスポンスの速さに も驚きましたね。IAMポリシーに関しても丁 寧に教えていただいたことで細かく作り込む ことができました。満足のいくものになり、 大変感謝しております」 before after
29 事例紹介(株式会社アイスタイル 様) • AWSのベストプラクティスに沿った構成 を設計・構築 • 3カ月でマルチアカウント構成やオンプレミスとのネットワーク接続等を実現 •
TerraformによるIaC化でインフラ構築・運用やアカウント設定を自動化 • AWS移行のファーストステップとなる共通基盤の設計・構築ノウハウが欲し い • AWSへの早期移行に向けて短期間で共通基盤を構築したい • インフラ構築・運用の負荷を軽減したい マルチアカウントご支援ポイント • AWS Control Towerによるマルチアカウン ト構成設計・構築 • AWS IAM Identity Centerによるユーザー 管理設計・構築 • AWS Transit Gatewayによるオンプレミス 環境とのネットワーク接続設計・構築 お客様の声 「内製開発を中心に進めていたものの、内部 のエンジニアだけでは判断できないことも多 く、折に触れてレビューをいただいたり、的 確な助言をいただいたりできたことは、自信 を持って前に進むうえでも心強い味方となり ました。トラブルシューティングや、最新技 術の調査においてもクラスメソッドからの知 見の提供によって乗り切ることができまし た」 before after
30 自分たちで頑張ってみるぞ! という方
31 Classmethod Cloud Guidebook • マルチアカウント関連ナレッジの他にもAWSガイドラインサンプル等、様々なコンテンツを 掲載 AWS活用のノウハウが詰まったナレッジ集 クラスメソッドの「 AWS請求代行」をご利用の御客様に無料公開
例 例
32