WNI20200908マルチアカウント運用の開始までの取り組み
•
2 likes•3,408 views
https://zozotech-inc.connpass.com/event/185894/ 第一回 AWSマルチアカウント事例祭り（ZOZOテクノロジーズ主催イベント）での発表資料です。
Recommended
Recommended
More Related Content
Similar to WNI20200908マルチアカウント運用の開始までの取り組み
Similar to WNI20200908マルチアカウント運用の開始までの取り組み (20)
Recently uploaded
Recently uploaded (11)
WNI20200908マルチアカウント運用の開始までの取り組み
- 1. 株式会社ウェザーニューズ Cloud Initiative / 小野 晃路 2020/09/08 マルチアカウント運用の 開始までの取り組み
- 2. Copyright©Weathernews Inc.2 株式会社ウェザーニューズ Cloud Initiative チームリーダー 小野 晃路 (Terumichi ONO) 自己紹介 1994年、株式会社ウェザーニューズ入社 カスタマーサポート、営業を経て、 携帯電話向けサービスの立ち上げ、企画、 コンテンツの開発を担当。 2014年にインフラチームに異動し、 ネットワーク、アカウント管理などを担当 2016年より、Public Cloud も担当 2019年に、Cloud Initiative チームが立ち上がり 現在に至る。
- 17. Copyright©Weathernews Inc.17 マルチアカウント向けサービスが充実 AWS Summit 2017 「AWSにおけるマルチアカウント管理の手法とベストプラクティス」より https://d0.awsstatic.com/events/jp/2017/summit/slide/D4T2-2.pdf ・マルチアカウントの ベストプラクティスが 参考になった - Organizations - SCP(Service Control Policy) - CloudTrail - GuardDuty
- 18. Copyright©Weathernews Inc.18 マルチアカウント向けサービスが充実 ○AWS Transit Gateway オンプレ、複数のアカウント間のVPCとの接続が管理しやすくなった ＞re:Invent 2017で、Direct Connect Gateway が発表され、 マルチRegionとの閉域接続が可能となった ＞re:Invent 2018で、Transit Gateway が発表され、さらにVPC間の接続、 管理がしやすくなった。 https://aws.amazon.com/jp/transit-gateway/ TGWなし TGWあり
- 19. Copyright©Weathernews Inc.19 マルチアカウント向けサービスが充実 ○AWS SSO (Single Sign-On) 複数のアカウントへのログインの一元管理が可能 ＞G suiteでアカウント管理をしているが、SAML連携はせず。 各アカウントに対する細かい権限設定が難しそうだった。 ＞AWS SSO でのユーザー管理を選択 CLI で一覧情報が取得できないのが目先の課題
- 22. Copyright©Weathernews Inc.22 ○AWS利用のガバナンスの決定 ガバナンスと権限移譲のバランスを取ったタイプを選択 マルチアカウント利用に向けて アプローチ クラウド統制部門の負荷 案 ガバナンス強度 利用部門の自由度 バランス型 2 リスクの高い箇所など特 定の範囲のみルールを 適用して管理する AWS利用の自由度を完 全には損なわないよう 調整することも可能 特定の範囲のルール化 が必要 ガバナンス 重視型 1 ユーザーの利用範囲を全 て管理し、利用方法を ルール化する 自社でカタログ化されたメ ニューからのみAWS利用 が可能 利用可能な範囲をカタロ グ化し、メニューを作成す るなど運用の負荷が高い 権限移譲型 3 特別な管理は行わない どのようなサービスも自 由に利用可能であり アジリティを損なわない 管理しない分、負荷は低 いがインシデント時の対 応負荷が高い可能性が ある 方針案 比較
- 23. Copyright©Weathernews Inc.23 ○アクターの整理 AWSを利用する管理者と利用者の役割を定義し、AWS SSOで権限セットを定義 マルチアカウント利用に向けて アクター 役割 アプリ開発担当 開発環境のシステムアカウント内でネットワーク、その他リソースを自由に使って開発、テストを行う。 アプリ管理者担当 システム系内の運用環境アカウントを操作する権限を持つ。アプリログの異常検知はアプリアカウントで行う。 事業部の管理者 事業部内の全アカウントを管理できる権限を持つ。事業部内で共通する監視・運用を行う。 監視担当 インフラの監視を行う。ウェザーニューズ全体の監視に関わる情報を参照できる インフラ管理担当 共通リソースの構築や各事業部からのリクエストに応じて共通リソース利用を許可する セキュリティー管理担当 セキュリティーに関する情報収集やインシデント対応を行う コスト管理者 AWS利用全体に関するコスト管理、およびコスト最適化、提案を行う
- 26. Copyright©Weathernews Inc.26 オンプレ データ配信 共通基盤 ネットワーク接続 データ配信は Direct Connect 経由 共通基盤や 社内との通信は TGW経由 ○オンプレ環境とのネットワーク構成 【共通基盤アカウント】 【利用者アカウント】
- 27. Copyright©Weathernews Inc.27 CDKを使っての管理 ○インフラ管理面でAWS CDKを利用 ・CloudFormation、AWS CDKを利用してなかったが、 マルチアカウントの管理では、効率的に行うために、AWS CDKを採用 ＞標準ガイドの構築に合わせて、AWS CDKの検証も実施 ・アカウント作成 ・VPC作成 ・CloudTrailなどのセキュリティ設定
- 30. Copyright©Weathernews Inc.30 お願い 実際にPublic Cloud を使っている皆様と 情報交換をしたいと思っています。 ・アカウント管理ってどうしてる？ ・コスト管理のやり方は？ ・実際に使っているアーキテクチャは、どういうものがある？ ・社内の情報共有ってどうやってるの？ ・CCoEの意見 などなど。 実際の現場で進めている内容で、うまくいったことや、逆の話も含めて、 情報交換が可能な方がいらっしゃったら twitter: @teru_o_k までDMいただければ幸いです。