Downloaded 42 times
Uploaded bycyberagent
「これ危ない設定じゃないでしょうか」とヒアリングするための仕組み @AWS Summit Tokyo 2018
「これ危ない設定じゃないでしょうか」とヒアリングするための仕組み @AWS Summit Tokyo 2018
More Related Content
Similar to 「これ危ない設定じゃないでしょうか」とヒアリングするための仕組み @AWS Summit Tokyo 2018
「これ危ない設定じゃないでしょうか」とヒアリングするための仕組み @AWS Summit Tokyo 2018
- 1.
- 2. 柿島 大貴 カキシマ ヒロタカ 2 インフラエンジニア 共著HBase徹底入門（翔泳社） AbemaTV負荷対策プロマネ（2017） 好きなAWSサービス Amazon S3
- 3. 東 和宏 アズマ カズヒロ 3 インフラエンジニア 好きなAWSサービス プライベートクラウド立ち上げ AbemaTVコンテンツ基盤構築中 AWS CloudFormation
- 4.
- 5.
- 6.
- 7.
- 8. 管理業務の例 8 請求や契約 with 経理/法務 依頼処理 トラブル対応セキュリティ対応 with セキュリティチーム ① ② ③ ④
- 9. 9 AWS担当者とのやりとり Solutions Architect 成田様 AccountManager 辻本様 Technical Account Manager 新井様 ⑤ 管理業務の例 いつもありがとうございます！
- 10.
- 11. AWS利用の規模感 11 •AWSアカウント • プロジェクト、機能、環境（本番、開発）などで分離 • 累積約 250 アカウント • 現在 約 160 アカウントがアクティブ
- 12.
- 13.
- 14.
- 15. 管理業務の中でも特にセキュリティの話 15 請求や契約 with 経理/法務 依頼処理 トラブル対応セキュリティ対応 with セキュリティチーム ① ② ③ ④
- 16.
- 17.
- 18.
- 19. 権限の管理 19 •LDAPを利用 • 人事データベースと同期 • 権限管理用のポータルがある •AWSアカウントごとに権限が存在 • 役割ごとの権限も設定可能
- 20.
- 21. 制限から複数のVPCを作成 21 LDAP サーバー 各AWSアカウント 監査、共通基盤の AWSアカウント Elastic Load Balancing VPC peering EC2 EC2 • VPC当たりのアクティブな VPC ピアリング接続（最大125） • ルートテーブル当たりのルートの数（最大100） ×2 AWS PrivateLinkを検証中
- 22.
- 23.
- 24.
- 25.
- 26.
- 27.
- 28. 管理用 AWSアカウントの構成 Organizationsのマスターアカウント • 請求/ Organizations /リザーブドインスタンスの管理 28 監査、共通基盤のアカウント • CloudTrailのログ集約、LDAPサーバーなど
- 29.
- 30. SCP（サービスコントロールポリシー） 嬉しいこと • DenyしたアクションはIAM, ルートアカウントともに対象 •iam:Create* , iam:Put*, iam:Attach*の権限があっても制限可 注意点 • Resourceは*で固定 • アクションのワイルドカード指定は後ろだけ • ボディの長さは5120 bytes（複数に分割して対応） 30
- 31. 他にも様々な取り組み • SAによるレビュー • 弊社のSREとAWSWell- Architected Frameworkを推進 • 日々の様々な相談 31 • ルートアカウントの管理 • MFAの管理 • 脆弱性診断の申請のサポート • エンタープライズサポート加入 • e-learning • 新卒研修 など AWSとの取り組み 基本的な取り組み
- 32.
- 33.
- 34.
- 35.
- 36.
- 37.
- 38.
- 39.
- 40.
- 41.
- 42.
- 43.
- 44.
- 45.
- 46.
- 47.
- 48.
- 49.
- 50.
- 51.
- 52.
- 53.
- 54.
- 55.
- 56.
- 57.
- 58. 診断レポート 58 • Trusted Advisorの結果 •独自チェックの結果 • CIS AWS Foundations Benchmark • ベンチマークに沿ったチェック結果 • コマンドベースでチェック方法記載 • 通知のしきい値の参考にもしている • セキュリティグループの一覧
- 59. なぜAWS Config Rulesではないの？ 59 •アクティブなルール1つごとに2USD/月 • リージョンごと、アカウントごとに費用増 •なるべく監査側のアカウントに設定を作りたい
- 60.
- 61.
- 62.
- 63.
- 64. 今後について • 今回の方法がベストだとは思っていない • 情報収集と定期的な見直し •ポリシー • 検査項目 • 道具（コスト、便利さ、柔軟性） • 別レイヤーのチェック • 例: Amazon InspectorやVulsの利用普及 • 一部環境では導入済 64
- 65.
- 66. 宣伝 •一緒に働いてくれる方を募集！ • https://www.cyberagent.co.jp/careers/ •CyberAgent DevelopersBlog • https://developers.cyberagent.co.jp/blog/ • 各サービスのエンジニアやクリエイターの技術をお届けします 66
- 67. 素材利用、参考資料 •ヒューマンピクトグラム2.0 • http://pictogram2.com •Material icons •https://material.io/tools/icons/ • This slide includes the work that is distributed in the Apache License 2.0. •AWSでのセキュリティ運用 ～ IAM,VPCその他 • リクルートテクノロジーズ様 の資料 • https://www.slideshare.net/recruitcojp/20160517-security-jaws-miyazakisachie • 非常に参考にさせていただいています 67