「第二回 AWSマルチアカウント事例祭り」に参加しました

Tweet

AWSマルチアカウント事例祭りに参加しました。
YouTube配信でした。

マルチアカウントでのIAMユーザ把握と可視化 IAMユーザー棚卸しへの取り組み

株式会社ZOZOテクノロジーズ CTO室 / 技術開発本部 SRE部 テックリード 光野 達朗さん

IAM認証情報レポートに取得を自動化して、分析されたと。
すんごい参考になります。

• CloudFormation Service Managed StackSets
• Athena
• QuickSight

で構築されたそうです。

StackSetsで作成するのは、日次で実行するLambdaと実行するためのEventBridgeが主。
認証情報レポートの格納先S3は集約分析用のアカウント、AthenaとQuickSightもそのアカウントで構築。

Athenaのクエリーで$pathからS3オブジェクト名を取得できると。
便利ですね。
目的は必要ないIAMユーザーを各アカウントから削除することだそうです。

AWS導入から3年 AWSマルチアカウント管理で変わらなかったこと変えていったこと

ニフティ株式会社 基幹システムグループ 石川 貴之さん

3年で200アカウント、利用者数は240名さん。
大変そう。

新規アカウントは20分で自動作成。
CloudFormation StackSetsでほとんど作って、できないとこはStep FunctionsからLambdaで実行されています。
ルートユーザーのパスワード再設定とMFA設定はやっぱり手動なのかあ。

コンプラチェックはConfigRule。
GuardDutyの結果もクロスアカウントで集約。

「利用者の成長を阻害しないセキュリティ」大事ですね #ama_fes02

— 山下 光洋inポケットスタディAWS認定 デベロッパー アソシエイト3/6リリースへ向けて校正中 (@yamamanx) February 9, 2021

セキュリティインシデントを乗り越えるために行ったマルチアカウントでの取り組みについて

Classi株式会社 プロダクト開発部 大南 賢亮さん

Classiは教育現場をサポートするクラウドサービス。
サービスそのものに興味ありますね。

4/5に不正アクセスによりサービス停止されて、ユーザー情報流出の可能性があり、７月に外部サイトで流出の確認された。
なかなかに重たいお話ですね。
そこから対策を講じてきたそうです。

• Organizationsで管理専用アカウントを作成
• 推奨構成に準じてOUを構成
• SCPのポリシー変更テストするOUを作成
• awslabs/git-secrets導入
• AWS SSOをAzureADと直接連携
• 発見的ガードレールの実装

SIEM on Amazon ESの導入などなど、これからも今後の対策予定があるとのこと。

すごく参考になりました！
ありがとうございました。

最後までお読みいただきましてありがとうございました！

【PR】 「AWS認定試験対策 AWS クラウドプラクティショナー」という本を書きました。

【PR】 「AWSではじめるLinux入門ガイド」という本を書きました。

【PR】 「ポケットスタディ AWS認定 デベロッパーアソシエイト」という本を書きました。

【PR】 「AWS認定資格試験テキスト＆問題集　AWS認定ソリューションアーキテクト - プロフェッショナル」という本を書きました。

@yamamanx

開発ベンダー5年、ユーザ企業システム部門通算9年、ITインストラクター3年目でプロトタイプビルダーもやりだしたSoftware Engineerです。
質問はコメントかSNSなどからお気軽にどうぞ。
出来る限りなるべく答えます。

このブログの内容/発言の一切は個人の見解であり、所属する組織とは関係ありません。
このブログは経験したことなどの共有を目的としており、手順や結果などを保証するものではありません。
ご参考にされる際は、読者様自身のご判断にてご対応をお願いいたします。

また、勉強会やイベントのレポートは自分が気になったことをメモしたり、聞いて思ったことを書いていますので、登壇者の意見や発表内容ではありません。