AWS アカウントへのログインを一時的に許可する簡易承認ワークフローを作ってみた

AWSアカウントへのログインを一時的に許可する簡易承認ワークフローを作ってみた 2023年6月29日【AWS×BTC】AWS LT大会株式会社セゾン情報システムズ石丸司 #aws_lt_saison_btc

目次１．自己紹介２．はじめに３．システム構成図４．運用イメージ５．改善点６．おわりに #aws_lt_saison_btc

１. 自己紹介 ▪氏名：石丸司（いしまるつかさ） ▪所属：セゾン情報システムズ ▪経歴 2017/4/1 ：新卒入社 2017/7/1～2022/3/31 ：
基幹システムのアプリ開発・維持保守 2022/4/1～： AWSインフラの構築・維持保守 ▪最近の活動 JAPAN AWS Top Engineers選出を目指し、資格取得、Qiita投稿・LT登壇などを実施中 Twitter：@tsukasa_aws #aws_lt_saison_btc

２. はじめにマルチアカウント環境にて、本番作業で使用する作業用ロール(管理者権限ロール)へのアクセス(スイッチロール)管理を手作業で行っているケースが多いのではないでしょうか。この運用を自動化できないか検討・試作してみましたので、今回はその内容をご紹介したいと思います。踏み台アカウント作業対象アカウント IAMユーザー (作業用IAMロールへ
のスイッチロール用) Excelにて踏み台アカウント IAMユーザーのパスワードを管理作業用IAMロール (管理者権限) スイッチロール #aws_lt_saison_btc ・・・

３. システム構成図踏み台アカウント作業対象アカウント作業用IAMロール (管理者権限ロール) SystemsManager Automation ※ 承認者
開始用Eventbridge Schedule作成承認ステップ終了用Eventbridge Schedule作成 Scheduler Scheduler AWS Lambda 踏み台アカウントの Lambdaアクセス用 IAMロール作業者 ③承認 ②通知 ①実行 ④スケジュール作成 ⑤実行 ⑥スイッチロール ⑦信頼ポリシーを変更カスタムランブック #aws_lt_saison_btc ※SystemsManager Automationとは AWS リソースのメンテナンス作業を自動化するためのSystems Manager内の機能 Chatbot SNS ※参考にさせて頂いた記事 https://dev.classmethod.jp/articles/workflow-to- add-temporary-privilege-by-ssm-automation/

４. 運用イメージ ①(作業者)SlackからSystemsManagerのカスタムランブックを実行実行コマンドを送信 #aws_lt_saison_btc パラメータ設定実行済メッセージ

４. 運用イメージ ②(承認者)Slackで承認依頼メッセージ確認&承認承認 #aws_lt_saison_btc 承認画面遷移

４. 運用イメージ ③(AWS内部処理)作業用IAMロールの信頼ポリシーを変更 #aws_lt_saison_btc 踏み台アカウント作業対象アカウント作業用IAMロール (管理者権限ロール) SystemsManager Automation
※ 承認者開始用Eventbridge Schedule作成承認ステップ終了用Eventbridge Schedule作成 Scheduler Scheduler AWS Lambda 踏み台アカウントの Lambdaアクセス用 IAMロール作業者 ③承認 ②通知 ①実行 ④スケジュール作成 ⑤実行 ⑥スイッチロール ⑦信頼ポリシーを変更カスタムランブック Chatbot SNS

４. 運用イメージ ④(作業者)踏み台アカウントのIAMユーザーにログイン&スイッチロールログイン #aws_lt_saison_btc スイッチロール

４. 運用イメージ ⑤(作業者)作業完了後に作業対象アカウントからログアウト入力した終了時刻に自動で作業用IAMロールの信頼ポリシーを初期化 ⇒スイッチロール不可の状態になる #aws_lt_saison_btc

５. 改善点 • 承認者への承認依頼通知をSlackに飛ばす (Chatbotが非対応なので、Lambda or EventBridge + SNS) •
複数の作業者の作業時間が被る場合の考慮 • AWS IAM Identity Center対応(SSOユーザー対応) • CloudFormationテンプレート作成 #aws_lt_saison_btc

６. おわりに • 今回ご紹介した事例が少しでもお役にたてれば幸いです。 • SystemsManagerを使用した、様々な運用作業自動化の事例が増えていくことを願っています。 #aws_lt_saison_btc

ご清聴ありがとうございました #aws_lt_saison_btc

AWS アカウントへのログインを一時的に許可する簡易承認ワークフローを作ってみた

AWS アカウントへのログインを一時的に許可する簡易承認ワークフローを作ってみた

Tsukasa_Ishimaru

More Decks by Tsukasa_Ishimaru

Other Decks in Technology

Featured

Transcript