1人アドミンな私は AWSアカウント申請をSlackで完結したい！

Transcript

1. 1人アドミンな私は AWSアカウント申請をSlackで完結したい！ JAWS-UG 栃木 オフライン # 10 -秋の登壇祭り- 2026/09/26 鈴木陽介
2. 自己紹介 鈴木 陽介(アマコネ芸人) ◆所属：都内SIer勤務 ◆業務内容 • お客様窓口(コンタクトセンター)の構築 • 社内AWS環境管理についてのあれこれ ◆好きなサービス • Amazon Connect Customer , AWS CDK
3. 本日話すこと・話さないこと ◆話すこと ⚫SlackでのAWSアカウント申請フローについて ⚫その他、応用 ◆話さないこと ⚫各サービスの詳細 ⚫業務のリアル
4. 突然ですが
5. AWS アカウント いくつ利用していますか？
6. AWS アカウント いくつ利用していますか？ • 個人利用は正直1つで足りることが多い(使い分けらている人本当に尊敬) まぁ個人環境だし… 検証・個人pjtの本番 なんでもござれ！ 個人アカウント
7. AWS アカウント いくつ利用していますか？ • 個人利用は正直1つで足りることが多い(使い分けらている人本当に尊敬) • 社内では？ 社内も漢の 1アカウントで！
8. AWS アカウント いくつ利用していますか？ • 個人利用は正直1つで足りることが多い(使い分けらている人本当に尊敬) • 社内では？ • 案件用、社内ツール用、自社サービス用、etc. 再販アカウント 社内ツール用 自社サービス用
9. AWS アカウント いくつ利用していますか？ • 個人利用は正直1つで足りることが多い(使い分けらている人本当に尊敬) • 社内では？ • 案件用、社内ツール用、自社サービス用、etc. • × (サンドボックス・開発・ステージング・本番)分 再販アカウント 社内ツール用 自社サービス用
10. AWS アカウント いくつ利用していますか？ • 個人利用は正直1つで足りることが多い(使い分けらている人本当に尊敬) • 社内では？ • 案件用、社内ツール用、自社サービス用、etc. • × (サンドボックス・開発・ステージング・本番)分 • 管理・運用が大変… 再販アカウント 社内ツール用 自社サービス用
11. AWS アカウント いくつ利用していますか？ • 個人利用は正直1つで足りることが多い(使い分けらている人本当に尊敬) • 社内では？ • 案件用、社内ツール用、自社サービス用、etc. • × (サンドボックス・開発・ステージング・本番)分 • AWS Organization + IAM Identity Center (+Control Tower) でアクセス一元管理 再販アカウント 社内ツール用 自社サービス用 AWS IAM Identity Center AWS Organizations
12. ではそのAWSアカウントは誰が払い出す？
13. その払い出し誰がやっていますか？ • 個人利用はもちろん自分自身
14. その払い出し誰がやっていますか？ • 個人利用はもちろん自分自身 • 社内環境は？
15. その払い出し誰がやっていますか？ • 個人利用はもちろん自分自身 • 社内環境は？ • 社内の専任チーム • 情報システム部門 • 開発・プロジェクトチーム etc.
16. その払い出し誰がやっていますか？ • 個人利用はもちろん自分自身 • 社内環境は？ • 社内の専任チーム • 情報システム部門 • 開発・プロジェクトチーム etc. とある会社では… 情シス が申請の承認〜アカウン ト払出しまで手作業でやっている (※フィクションです)
17. その払い出し誰がやっていますか？ • 個人利用はもちろん自分自身 • 社内環境は？ • 社内の専任チーム • 情報システム部門 • 開発・プロジェクトチーム etc. →アカウント払出し依頼が集中する とある会社では… 情シス が申請の承認〜アカウン ト払出しまで手作業でやっている (※フィクションです)
18. その払い出し誰がやっていますか？ • 個人利用はもちろん自分自身 • 社内環境は？ • 社内の専任チーム • 情報システム部門 • 開発・プロジェクトチーム etc. とある会社では… 情シス が申請の承認〜アカウン ト払出しまで手作業でやっている (※フィクションです) →アカウント払出し依頼が集中する →承認フローが複雑になったり… 払出し依頼 内容確認 承認 アカウント払出し 完了報告 Slack・Salesforce など 用途・OU・権限 上長・情シス コンソールぽちぽち ログイン方法を案内
19. やったこと(本編)
20. やったこと(本編) • 困りごと • AWSアカウントの承認フローが複雑で承認者負荷が大きい • AWS Organizationとか個人でなかなか触らないし触ってみたい(本音) • やったこと • AWSアカウント申請フローをSlack で完結させるワークフローの構築 払出し依頼 内容確認 承認 アカウント払出し 完了報告 Slack・Salesforce など 用途・OU・権限 上長・情シス Slack api ログイン方法を案内
21. 従来フロー：申請 Slack + 作業コンソール 1. Slack で依頼が来る 2. アカウントを作り OU に移す 3. IAM Identity Center で権限を付ける 4. Slack に戻って案内する Slack コンソール 依頼が来る ログイン案内 作成・OU 移動 権限割り当て
22. 提案：Slack一気通貫フロー 1. Slack Appから依頼を送信(申請者) 2. 承認担当者のCh.に依頼転送 3. 「承認」クリックで Slack API→Step Functions (アカウント作成・移動) 4. 作成完了後、依頼者に通知 Slack 依頼フォーム提出 ログイン案内 Slack API → aws 承認→ Step Functions 権限を割り当て
23. /aws-account コマンドで申請フォームを立ち上げる • DM からも申請できる • OU と権限セットは毎回取得 • ドライランで試せる 画像: request-form.png
24. 担当者(情シス)ch に承認依頼が届く
25. ログイン案内を申請者DMへ通知
26. どういう仕組みなの？
27. システム構成図
28. ポイント①：承認されるまで AWS は動かさない • 最初の案: 申請で起動し承認を待つ • 放置された申請がずっと待ち続ける
29. ポイント①：承認されるまで AWS は動かさない • 最初の案: 申請で起動し承認を待つ • 放置された申請がずっと待ち続ける • 今: 承認ボタンで起動 • 二重押しでも1回しか動かない
30. ポイント②：無料の Slack に対応 • Slack APIのみ利用 • ワークフローを使わない • マニフェストファイルでデプロイ • Amazon Q Developer in chat applications (旧 AWS Chatbot)は 使っていません。 • →モーダルウィンドウ非対応のため
31. アカウントできた！めでたしめでたし
32. …でどこから入るの？
33. 作るだけでは Slack で完結しない • 入れるのはルートユーザーだけ • 普段使いは非推奨
34. 作るだけでは Slack で完結しない • 入れるのはルートユーザーだけ • 普段使いは非推奨 • 結局コンソールで Identity Center を操作 • IAM ユーザーは長期の認証情報が散らばる
35. Identity Center の割り当てまで自動化！ • ユーザーを探しなければ作る • 権限セットを割り当てる
36. Identity Center の割り当てまで自動化！ • ユーザーを探しなければ作る • 権限セットを割り当てる • 割り当ては管理アカウントからのみ • 管理アカウントで動くのでそのまま呼べる
37. 躓き(注意点)
38. Lambdaのコールドスタート • Slack APIの3秒ルールに引っかかる • 承認時にStatus200を3秒以内に返す • 重い取得は後から views.update で差し替え • プロビジョンド同時実行なしで間に合う
39. アカウントは気軽に作り直せません(戒め) • 上限は初期値10で閉鎖分も数える • 作って4日は組織から外せない • リハーサルはドライランで • デモやりたかったのですがアカウント上限に達しました(泣)
40. まとめ • 申請からログインまで Slack で完結 • AWS は承認ボタンで起動し約30秒で払い出し • 3秒の壁に注意 リハーサルはドライランで！ 今後の展望 • Identity Centerのグループ対応 • Control Tower Account Factory 対応 • 組織として使える状態のアカウント整備