AWS Organizationsありなしパターン別AWSのマルチアカウント管理Tips

AWS Organizationsありなしパターン別   AWSのマルチアカウント管理Tips   クラスメソッド株式会社 AWS事業本部コンサルティング部    菊池　聡規  1

スライドは後で入手することが出来ますので発表中の内容をメモする必要はありません。写真撮影をする場合はフラッシュ・シャッター音が出ないようにご配慮ください

3 自己紹介 • 【名前】菊池聡規 • 【所属】 AWS 事業本部
コンサルティング部 • 【キャリア】金融機関向けオンプレのインフラエンジニア１０年ほど→ 自社Webサービスをもつ企業で３年ほど→ クラスメソッドにジョイン • 【Blog】 https://dev.classmethod.jp/author/tooti/ • 【好きな技術】コンテナ、Terraform、GitHub Actions, Amazon EventBridge, AWS Step Functions

4 AWSを使う上での悩みこんなお悩みありませんか？

5 よくある課題：混在するシステム • システムが１AWSアカウントに混在

6 よくある課題：権限分割ができてない • 本番環境、誰でも触れちゃう問題

7 これらの課題を解決するにはマルチアカウント運用だ！

8 マルチアカウント運用の課題 • マルチアカウントで運用すると今度はマルチアカウントならではの悩みが・・・ ◦ 各AWSアカウントへのログインと権限管理 ◦ AWSアカウントのベース設定の統一 ◦
モニタリング、ログ、リソース等の情報集約 ◦ どうやって各AWSアカウントにルールを敷くか（ガバナンス） ◦ AWSアカウント分割方針 ◦ 各アカウント間のネットワーク接続・・・などなど

9 今日はこれらマルチアカウントのお悩み解決のヒントになる Tipsをお伝え

10 でもAWS Organizations前提なんでしょ？

11 AWS Organizations使用してる場合とそうじゃない場合、２パターンでお伝えします！

12 各AWSアカウントへのログインと権限管理 • マルチアカウントでのID管理の課題 IDの統合をする必要がある

13 AWS Organizationsを使わないパターン • Jumpアカウントを使ってログイン ※DevelopersIO：マルチアカウントな AWS環境のマネジメントコンソールへのアクセス方法をまとめてみたの図を元に一部改変 ➔ この方式の課題点
◆ 利用者観点 • AWSアカウント範囲でしかIDが統合できてない • スイッチ先AWSアカウント等を各ユーザで管理 ◆ 管理者観点 • AWSアカウントごとのIAM作成変更

14 AWS Organizationsを使わないパターン • 外部IDプロバイダーを使ってログイン ➔ この方式の課題点 ◆ 利用者観点 •
AWS CLI使用に一工夫必要 ◆ 管理者観点 • AWSアカウントごとのIAM作成変更 • AWSアカウントごとにIdPとの信頼関係を結ぶ必要あり ※DevelopersIO：マルチアカウントな AWS環境のマネジメントコンソールへのアクセス方法をまとめてみたの図を元に一部改変

15 AWS Organizationsを使うと • 外部IDプロバイダーのIDを使ってIAM Identity Centerでログイン ➔ 便利になる点 ◆
利用者観点 • 普段使っているIDでログイン • AWS CLIサポート ◆ 管理者観点 • 各AWSアカウントへのIAMロールの作成・変更が不要 ➔ 設計が必要なポイント ◆ 許可セットの権限設計 ◆ ユーザ、アカウント、許可セットの関連付け

16 AWSアカウントのベース設定の統一 • マルチアカウントでの各AWSアカウント設定の課題 ➔ 以下のような設定は各アカウントで合わせておきたい（一例） • Amazon GuardDuty設定 •
AWS Security Hub設定 • AWS CloudTrail設定 • AWS Config設定 • Amazon S3ブロックパブリックアクセス AWSアカウント作成時に毎回初期設定する必要がある • Amazon Detective設定 • VPC設定 • AWS Resource Access Manager • AWS Backup設定設定変更の検知・設定変更防止

◦ Baseline Environment on AWS ▪ AWSが公開しているAWSにおけるセキュリティのベストプラクティスに沿った設定をデプロイするためのCDKコード ▪ ご参考：AWS環境にセキュアなベースラインを提供するテンプレート「Baseline
Environment on AWS」のご紹介 17 AWS Organizationsを使わないパターン • AWSアカウント作成時の初期設定 ◦ IaCを使用してベースライン設定を構築 ▪ AWSアカウント新規作成時にAWS CloudFormationやTerraform を手動実行 ▪ ただしAWS CloudFormationでサポートされていないような設定もある（AWS Security Hubのメンバーアカウント招待等） • 自作スクリプト等で対応する必要あり

18 AWS Organizationsを使わないパターン • 設定変更の検知 ◦ AWS Security Hub： ▪
AWSアカウント内の危険なAWSリソース設定を監視 ◦ AWS Config： ▪ AWSアカウント内の各リソースの設定変更履歴を保持 ▪ 設定変更内容を評価して通知等することも可能 ◦ どちらも非AWS Organizations環境でも、一つの管理用AWSアカウントに情報集約することは可能 ➔ 課題点 ◆ 新規作成AWSアカウントごとに有効化や招待等の設定をする必要がある

19 AWS Organizationsを使わないパターン • セキュアアカウント（弊社独自サービス） ◦ アカウント払い出し時に以下のような主要なベースライン設定を実施 ▪ Amazon
GuardDuty有効化 ▪ AWS Security Hub有効化 ▪ AWS CloudTrail有効化 ▪ AWS Config有効化等々

20 AWS Organizationsを使うと組織・OU単位で初期設定を統一組織・OU単位で設定変更の検知や防止を設定組織という単位で設
定ができるように OUという単位で設定ができるように

21 AWS Organizationsを使うと • AWS Organizations連携サービスによる組織単位の設定 ◦ 組織のメンバーアカウントとしてAWSアカウントを作成すれば自動で有効化や招待を実行 ◦
AWS Security Hubや Amazon GuardDutyなど多数のAWSサービスに対応

22 カスタムのベースライン設定を行うときの選択肢項目 IaC種類 AWS Control Tower要否参考URL 備考 AWS
CloudFormationSt acksets CloudFormation （CDKで記述することも可能）不要 https://dev.classmethod .jp/articles/baseline-aut o-deploy-by-cfn-stacks ets/ OU参加時に自動で実行できる AWS Control Towerのカスタマイズ CloudFormationと設定用yaml 必要 https://dev.classmethod .jp/articles/customizatio ns-for-control-tower/ Account Factory For Terraform Terraform 必要 https://dev.classmethod .jp/articles/ct-account-fa ctory-for-terraform/ Account Factory Customization Service Catalog(CloudFor mation) 必要 https://dev.classmethod .jp/articles/control-tower -account-factory-custo mization/ Baseline Environment on AWS CDK マルチアカウント版の場合、必要 https://github.com/aws- samples/baseline-envir onment-on-aws/blob/m ain/README_ja.md

23 AWS Organizationsを使うと • AWS Control Tower ◦ AWSアカウント作成時：組織に追加されるAWSアカウントを対象にログ集約を自動設定
◦ 設定変更検知・防止：SCPで変更防止が可能に。組織やOU単位で AWS Confingのルールが簡単に適用可能 ※AWS Black Belt Online Seminar AWS Control Tower 基礎編より引用

24 マルチアカウントいいね 😀 ってなりましたよね？

25 AWS Organizationsに興味が出てきたという方

26 AWS請求代行サービス（組織管理プランv2）組織管理プラン v2のポイント • 2024/4より開始した新プラン、従来より更に割引率UP • AWS Organizationsの他、AWS Control
Towerも使用可能※１ ※１　詳細については弊社サイトにてご確認頂くか、弊社サイトのお問い合わせページよりお問い合わせください。 ※１中国リージョン、GovCloudは除きます。AWS Marketplaceなど一部のサービスは対象外となります。 AWS全サービス・全リージョン利用料一律4%OFF 組織管理プランv2

27 マルチアカウントにしたい、でもどこから手をつけたらいいか・・・という方

28 事例紹介（塩野義製薬株式会社様） • 一定のセキュリティレベルを担保しつ柔軟性の高いAWS環境を構築  • 社内インフラを有効活用したネットワーク構成、ユーザ管理体制   •
組織的なAWS運用体制を構築。クラスメソッドはチームで支援   • 社内の複数の部署で契約したAWSアカウントが点在   • 分散管理によってBCP、セキュリティリスクを懸念   • 属人的な管理体制からAWS運用の社内リソースが不足   マルチアカウントご支援ポイント • 塩野義製薬全体のAWSアカウントを横断するセキュリティ監視の一元化 • IAM Identity Centerを使って組織的なアカウントの一元管理と権限分割を実現お客様の声「既存の運用や構成を考慮して変更したいものや追加したい要件・要望などをこちらから伝え、その都度柔軟に応えていただけました。要望を伝えたあとのレスポンスの速さにも驚きましたね。IAMポリシーに関しても丁寧に教えていただいたことで細かく作り込むことができました。満足のいくものになり、大変感謝しております」 before after

29 事例紹介（株式会社アイスタイル様） • AWSのベストプラクティスに沿った構成を設計・構築  • 3カ月でマルチアカウント構成やオンプレミスとのネットワーク接続等を実現   •
TerraformによるIaC化でインフラ構築・運用やアカウント設定を自動化 • AWS移行のファーストステップとなる共通基盤の設計・構築ノウハウが欲しい  • AWSへの早期移行に向けて短期間で共通基盤を構築したい   • インフラ構築・運用の負荷を軽減したいマルチアカウントご支援ポイント • AWS Control Towerによるマルチアカウント構成設計・構築 • AWS IAM Identity Centerによるユーザー管理設計・構築 • AWS Transit Gatewayによるオンプレミス環境とのネットワーク接続設計・構築お客様の声「内製開発を中心に進めていたものの、内部のエンジニアだけでは判断できないことも多く、折に触れてレビューをいただいたり、的確な助言をいただいたりできたことは、自信を持って前に進むうえでも心強い味方となりました。トラブルシューティングや、最新技術の調査においてもクラスメソッドからの知見の提供によって乗り切ることができました」 before after

30 自分たちで頑張ってみるぞ！という方

31 Classmethod Cloud Guidebook • マルチアカウント関連ナレッジの他にもAWSガイドラインサンプル等、様々なコンテンツを掲載 AWS活用のノウハウが詰まったナレッジ集クラスメソッドの「 AWS請求代行」をご利用の御客様に無料公開
例  例 

AWS Organizationsありなしパターン別AWSのマルチアカウント管理Tips

AWS Organizationsありなしパターン別AWSのマルチアカウント管理Tips

t-kikuchi

More Decks by t-kikuchi

Other Decks in Technology

Featured

Transcript