払い出した瞬間から安全なAWSアカウント — 8チームから28チームへのガードレール設計

SRE Tech Talk #15（3-shake × enechain、2026年9月4日）での LT です。公開にあたって一部の表現を変えています。 https://3-shake.connpass.com/event/402777/

1. SRE Tech Talk #15 払い出した瞬間から 安全なAWSアカウント 8チームから28チームへのガードレール設計 出町 陽平 フリーランス / SRE・可観測性 2026.09.04 1
2. 前提 新規事業の基盤を作ると、 初日から攻撃対象になります エンタープライズ規模 × 高い注目度 ＝ 価値の高い攻撃面。 セキュリティは「やったほうがいい」ではなく、事業が成立する条件でした。 大規模なクラウド基盤を担当していたときの話をします。 2
3. ぶつかったもの 前例がない。つまり コピペできるベストプラクティスがない それでもチームは速く動きたい。作って、試して、壊して、直したい。 一方で、セキュリティは一つも落とせない。 普通はここで、入口にレビューという関門を置きます。 新しいチームがAWSを使い始めるたびに、構成を人が見る。 3
4. 変えたこと セキュリティを チェックポイントだけに頼らず デフォルトにする ゲートは残っています。 各チームがリリースのプロセスを持っている。 変えたのは、そのゲートに来る時点で、 すでに準拠している状態にしたこと。 4
5. 払い出した時点で、こうなっている AWSアカウント READY TO BUILD ✓ 社内セキュリティポリシー適用済み 準拠は前提であって、成果物ではない プロダクトチーム 「AWSアカウント ください」 → ✓ チームが自律運用できる標準構成 毎回ゼロから設計しない ✓ ファイアウォールはIaCで管理 申請チケットではなくコード ✓ 逸脱はCSPMが継続的に検知 入れて終わりにしない チームは受け取った瞬間から、安全な状態で開発を始められる。 構成をゼロから相談する往復も、その待ち時間もありません。 5
6. 起きたこと 8 → 28 チーム 2 ヶ月 無事故 それでもレビューは 参画から、 本番ローンチまで 詰まらなかった 標準構成の設計完了まで インフラ起因の事故ゼロ 標準構成を展開した規模。 チーム数が3倍以上になっても、セキュリティレビューがボトルネックになりませんでした。 人を増やして捌いたのではなく、捌く必要をなくしたからです。 6
7. ファイアウォールのルール申請 BEFORE AFTER Excelの台帳でルールを管理。 IaC化して、各チームがセルフサービスで 人が突き合わせ、 申請。 人を経由しないと申請が通らない → レビューはコードに対して行われる 6〜7時間 数十分 申請から完了まで／1件 削減率にして8割以上 効いたのは削減率そのものより、「自分を経由しないと変更できない状態」を意図的に壊したことでした。 7
8. ここからは、運用する側の話 大きな組織の本番環境では、 事故は「手順が飛ぶ」形で起きる ここまではプロダクトチームに配る側の話。 ここからは基盤を運用する側の話です。 システムが落ちることよりも、変更の手順が守られないことのほうが難しい。 技術的に正しいことと、通していい手順であることは別物です。 8
9. では、なぜ手順は飛ぶのか よくある診断 作業者の注意不足だ。 → 教育を強化する／チェック項目を増やす ＝ プロセスはさらに重くなる もう一つの見方 プロセスが、現実の作業に対して 重すぎる。 → 重さそのものが、逸脱しやすい土壌を作る 同じ現象から、正反対の打ち手が出てきます。 前者を選ぶと、逸脱するたびにプロセスが重くなり、さらに逸脱しやすくなる。 9
10. やったこと 統制を強化するのではなく、 現実に合う重さに設計し直した 毎回手順書を書いて提出する運用を、 コード変更だけで完結するような軽い更新については、GitHubのPRで完結 する形にしました。 手順書を書くだけで数時間かかっていた分がなくなりました。 全部を軽くしたわけではありません。IaCで完結するものだけです。 重い変更は、重い手順のままにしてあります。 10
11. ここから学んだこと 重いプロセスは、 守られないことによって守られなくなる 正しいことをするのが一番ラクな状態を作れば、 開発者はそれを迂回する理由を持ちません。 配る側の話と、運用する側の話。別々の問題ですが、効いた原理は同じでした。 アカウントの払い出しも、FW申請も、変更手順も。禁止するのではなく、既定値にする。 11
12. 最後に一つだけ これを作ったのは、チームが8つだった頃です。 28になってからでは、間に合いませんでした。 「まだうちはその規模じゃない」と思っているうちが、 いちばん安く作れるタイミングだと思っています。 出町 陽平 フリーランス / SRE・可観測性 #SRETT 12