AWS SSOで実現するモダンなAWSアカウント管理

1. bitbank LT Night #1
AWS SSOで実現するモダンな
AWSアカウント管理
2018/06/27
ビットバンク株式会社

2. 自己紹介 {
"Name": "Yuki Yoshida",
"age": "5LqM5Y2B5YWr5q2z",
"role": [
"Infrastructure Engineer",
"AWS Engineer"
],
"language": [
"node.js",
"shell script"
],
"comment": "キャンプが好きだ"
}

3. AWSのアカウント管理
● 入社・退社のタイミングでIAMユーザーの払い出し
● 役割が変わって一人づつ権限をチェック
● 定期的な棚卸し
● クレデンシャルのローテート
● 管理アカウントが増えたら最初から設定・・・
運用負荷が高い。辛い。メンドクサイ・・・

4. AWS SSO

5. ログイン画面

6. 一時クレデンシャル
の払い出し
● 60分限定で使用可能な
AWSのクレデンシャルを
払い出せる
● 指定した権限セットに応じ
たクレデンシャルを取得
可能
● 特別な設定は不要
● 便利

7. SAML2.0に対応
● SAMLに対応したサービスと連携
可能
● ディレクトリ情報からサービスで
利用している情報を紐づけて連
携する
● AWS SSOの画面からログイン
● サービス側でMFAに対応してい
なくてもSSOログイン時にMFAを
強制することでMFA対応が可能
● 管理が楽

8. Directory Serviceと連携

9. MFA連携方法1
自前でRADIUS実装
● RADIUSサーバの管理と
ユーザーの管理が面倒
● VPC内で完結する
● 費用的にはSaaSを使うよ
り安い
Black Beltに参考になる資料があります

10. MFA連携方法2
Duo Securityを利用
● Duo SecurityへProxy
Serverを介して接続
● RADIUSサーバの管理が
不要
● Duo側でユーザー管理が
必要
● MicrosoftADでも使える
Black Beltに参考になる資料があります

11. MFA連携方法3
OneLoginを利用
● ADサーバにConnectorを
インストール
● ADConnectorを利用する
必要がある
● OneLogin側でのユー
ザー管理不要
● MicrosoftADは使えない

12. 運用してみて
● 考える部分の大半はADに関して
● マネージドポリシは当てられる数に制限があるので自分で
IAMポリシを書いたほうが楽
● IAMユーザーを消せるのでこのクレデンシャル何に使ってる
んだよ・・・みたいな事がない
● 複数アカウント持ってたら絶対使ったほうが良い

13. ご清聴、ありがとうございました。
WE’RE HIRING!!
一緒にAWS環境を作っていく仲間を募集し
ています。
なにか聞きたいことがあれば懇親会で！