Lock in $30 Savings on PRO—Offer Ends Soon! ⏳

ガバメントクラウド単独利用方式におけるIaC活用

 ガバメントクラウド単独利用方式におけるIaC活用

2024/10/28 JAWS-UG 名古屋 「IaC運用のリアルを語りたい!LT大会」の登壇資料です。

高橋広和

October 28, 2024
Tweet

Other Decks in Technology

Transcript

  1. Profile 2 名古屋市総務局デジタル改革推進課 課長補佐(システム標準化担当) 高橋 広和 ◆ 1998年 名古屋市入庁 区役所市民課

    住基・戸籍・印鑑業務従事 ◆ 2002年 健康福祉局医療福祉課 ホスト分散化対応、後期高齢者医療システム開発 ◆ 2009年 健康福祉局総務課 福祉総合情報システム保守運用 ◆ 2012年 愛知県後期高齢者医療広域連合 マイナンバー制度導入対応 ◆ 2017年 健康福祉局保険年金課 保険年金システム保守運用 ◆ 2022年 現職 担当業務:基幹業務システムのガバメントクラウドCoE 趣味:読書 特技:AWSチョットワカル、VB系コーディング モットー:楽をするための労力は惜しまない 好きなAWSサービス:Trangit Gateway X :https://twitter.com/techniczna Note:https://note.com/techniczna/
  2. 名古屋市のガバクラ移行の取組について • 【導入事例】名古屋市様 稼働率99.99%のガバメントクラウド接続環境を実現! https://www.jt-tsushin.jp/articles/case/platform-tokai-com-20241008 • 政令市・中核市・特別区CIOフォーラム2024年5月21~22日会合 標準化を機にしがらみを断ち全 体最適化へ https://project.nikkeibp.co.jp/jpgciof/atcl/19/00002/00013/?P=8

    • 名古屋市が進めるAWSを活用したガバメントクラウドの現状とは https://news.mynavi.jp/techplus/article/20241023-3050317/ • AWSがガバメントクラウドへの取り組みを説明、名古屋市の事例も https://cloud.watch.impress.co.jp/docs/news/1633596.html • AWSジャパン、自治体のガバメントクラウド移行をスキル育成や情報提供で支援 ガバクラを先行利 用する名古屋市が取り組みを説明 https://it.impress.co.jp/articles/-/26995 • 移行期限迫るガバクラ、自治体・支援事業者の現状は? 300の自治体で利用されるAWSの場合 https://ascii.jp/elem/000/004/230/4230115/ 3
  3. 普通のAWSとどう違うの? • 1つの巨大なAWS Organizationで運用 ➢ デジタル庁がマスターアカウント、利用団体がメンバーアカウント • ユーザーは全てデジタル庁が管理 ➢ デジタル庁が管理するオンボーディングサイト(GCAS)をIdPとして、IAM

    Identity Centerで SSOアクセスを行う ➢ IAMユーザーは原則利用禁止 ➢ GCAS登録時にマイナンバーカードによる本人確認が必要 • SCPで一部サービスを制限 ➢ 海外リージョンの利用やインターネットからのマイナンバーデータへのアクセス等 • 一定のセキュリティガードレールを確保 ➢ AWS BLEAによる自動適用テンプレート、必須適用テンプレート 6
  4. 単独利用方式と共同利用方式の違い 8 単独利用方式 共同利用方式 運用主体 地方公共団体 事業者 導入方法 地方公共団体がCSPや運用ルールを決定 し、調達仕様に盛り込む

    事業者がCSPや運用ルールを決定し 地方公共団体に提案 利用方法 地方公共団体が事業者用の環境を用意し 事業者はその環境にシステムを構築 事業者が共同利用環境を用意し 地方公共団体はその環境に接続 名古屋市はこちら
  5. 単独利用方式の構成イメージ 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) AシステムVPC 10 BシステムASP環境(単独利用) BシステムVPC

    CシステムASP環境(単独利用) CシステムVPC DシステムASP環境(単独利用) DシステムVPC EシステムASP環境(単独利用) EシステムVPC FシステムASP環境(単独利用) FシステムVPC IシステムASP環境(単独利用) IシステムVPC HシステムASP環境(単独利用) HシステムVPC JシステムASP環境(単独利用) JシステムVPC GシステムASP環境(単独利用) GシステムVPC KシステムASP環境(単独利用) KシステムVPC LシステムASP環境(単独利用) LシステムVPC OシステムASP環境(単独利用) OシステムVPC NシステムASP環境(単独利用) NシステムVPC PシステムASP環境(単独利用) PシステムVPC MシステムASP環境(単独利用) MシステムVPC QシステムASP環境(単独利用) QシステムVPC RシステムASP環境(単独利用) RシステムVPC
  6. 【ASP】名古屋市統制テンプレートの適用① 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) 17 Config CloudTrail Trusted

    Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL AWS CDK で適用 CloudWatch ロググループ
  7. 【ASP】名古屋市統制テンプレートの適用② 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) 18 Config CloudTrail Trusted

    Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL Inspector Hosted zone Private Host zone を手動で作成 CloudWatch ロググループ Inspectorを 手動で有効化
  8. 【ASP】名古屋市統制テンプレートの適用④ 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) 20 Config CloudTrail Trusted

    Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL Inspector Hosted zone TGWリソース共有の承認 Attachment Attachment CloudFormationでJsonファイルを アップロードしてデプロイ CloudWatch ロググループ
  9. 【名古屋市】名古屋市統制テンプレートの適用⑤ 庁内ネットワーク 運用管理環境 (ネットワークアカ ウント) AシステムASP環境(単独利用) 21 Config CloudTrail Trusted

    Advisor IAM Budgets SNS GuardDuty Security Hub KMS EventBridge SQS AシステムVPC Resolver Endpoints Att-subnet AZ1a Att-subnet AZ1c Route table Network ACL Network ACL Inspector Hosted zone Host zone の関連付け Attachment の承認 Attachment Attachment オンプレDNS CloudWatch ロググループ