AWS Organizations と一緒にはじめるアカウント分離/Starting Account Separation with AWS Organaizations

JAWS-UG 朝会 #15 の発表資料です #jawsug_asa #jawsug

Transcript

1. AWS Organiza,onsと一緒に はじめるアカウント分離 多田 貞剛 JAWS-UG朝会 #15
2. • 多⽥ 貞剛(@tada_infra) • 2020年9⽉株式会社スナックミーに中途⼊社 • 筋トレ -> サウナ -> サ飯 のトライセットを決 めるのがマイブーム • JAWS-UG 朝会 ⽬⿊版は2,3回か出席 自己紹介
3. 会社紹介
4. 会社紹介 『新しいおやつ体験を想像し、おやつ時間の価値をあげる』 栄養価が⾼く、それでいて美味しさに妥協しないスナックによっ て、おやつそのもの質を上げる。 また、モノだけではなく、新しいおやつ体験をデザインし、おやつ の時間の価値を向上させる。 それによって、おやつの時間が彩りとなり、豊かな⽣活を実現す る。
5. 会社紹介 • おやつ体験 BOX 『snaq.me』 • ⽉額 1,980円(税込、送料込) • 4週 or 2週毎に100種類以上の商品からお客様にパーソナライ ズした８種のおやつをお届け
6. 会社紹介 おやつ診断、商品リクエスト、商品評価などのデータを取得してお 届けする、パーソナライズされたおやつが特⻑
7. 会社紹介
8. アジェンダ • AWS アカウント管理の課題 • 課題への対応 • 今後やっていきたいこと
9. AWSアカウント 管理の課題
10. AWSアカウント管理の課題 • ⼊社して1⽇⽬にAWSアカウントが発⾏された • 社内に情報がほぼないので中に⼊ってみてみた
11. AWSアカウント管理の課題 • AWSアカウントは1アカウントしかないので開発が危険性⾼め • 開発中に本番のリソースを触っちゃった事故も発⽣していた
12. AWSアカウント管理の課題 • AWS リソースは⼿で作ったり、コード化されているものもあっ たり管理がバラバラ
13. AWSアカウント管理の課題 • ローカルだと動くけど本番デプロイで動作しない事象 • 本番稼働前のテストや動作確認がフローとして確⽴しきって ない • ex. 開発環境である Mac のコンテナ上で動いたけど ECS の コンテナでは動作しない
14. AWSアカウント管理の課題 • 今の本番システム構成も変えていきづらい • 疑似本番環境がないためアーキテクチャの変更によって既存 アーキテクチャへの影響だったり、変更計画が建てにくい
15. AWSアカウント管理の課題 • 開発者の AWS 検証環境がなく、CTO しか AWS を触ることが ないような状況だったので開発メンバー全体の知識や経験に偏 りがある • 全体のスキルアップ、AWSの習熟度をあげたい
16. AWSアカウント管理の課題 ɾɾɾɾɾɾɾɾ
17. AWSアカウント管理の課題 ɾɾɾɾɾɾɾɾʂ
18. AWSアカウント管理の課題
19. 課題への対応
20. 課題への対応 • 複数のAWSアカウントを⼀元管理するの に役⽴つサービス • 新規アカウントの作成、請求の簡素化に も役⽴つ • 他のAWSサービスと統合しており、管理 するアカウントにわたって設定管理する ことも可能
21. AWSアカウント管理の課題 • アカウントの分離の進めていくにあたっては Landing Zone の 考え⽅を参考にして進めている • Landing Zone はベストプラクティスに基づいたマルチアカウ ント環境のセットアップをサポートする仕組み ※参考 https://aws.amazon.com/jp/builders-flash/202007/multi-accounts-best-practice/ https://aws.amazon.com/jp/builders-flash/202009/multi-accounts-best-practice-2/
22. 課題への対応 • AWS Organizations を使ってまずはアカウントをステージング とサンドボックスに分割することにした • ステージングアカウントで疑似本番環境を作り、開発とテス トをしやすくする • サンドボックスアカウントでAWSの習熟度を上げつつ個⼈検 証をやりやすくする
23. 課題への対応
24. 課題への対応 • リソース管理は IaC 化して対応 • AWS の利⽤料は複数アカウント分を redash で可視化 • CloudTrail,Config,GuardDuty などの設定
25. 今後やりたいこと
26. 今後やりたいこと • アカウントのログイン⽅式が直ログイン になっているのをAWS Single Sign-On (SSO)を使っていきたい • GSuite をIdPに委任し、SAML認証でロ グインしていく⽅式 • AWSだけでなく業務アプリケーション もSSOで扱えるのも利点
27. 今後やりたいこと • SSOで扱えるアプリケーションの⼀例 • Slack • GitHub • Zoom • Office 365 など
28. 今後やりたいこと • アカウント分割もLanding Zoneの考え⽅を参考にさらに分 割を進める • ログ集約アカウントの作成 • Organizations SCPやConfig Rulesを使ってガードレール の設置
29. まとめ
30. まとめ • AWS の活⽤拡⼤に合わせてアカウントも⽤途にあったものに分 割していく • ⼩さな組織ほど1アカウントでやらず Oraganizations を活⽤し てアカウントを管理していくのがおすすめと思った • SSO も⼀緒に活⽤して AWS だけでなく業務アプリも管理して いくようにする
31. Thank you!