AWS SSOを導入してみた

1. AWS SSOを
導入してみた
SREチーム
大越 雄太 2020/09/10

2. 自己紹介
● 大越 雄太 (Yuta Okoshi)
● 最近の経歴：
2020年5月に留学資金集めのためにフリーランスとして転生し
同時にハウテレビジョンのSREチームとしてJOIN
● HowTVでの主なお仕事：
AWSのリソース整理など主にインフラ周り
● 趣味：
IoT × サバイバルゲームでいろいろ作ってます
チンチラと同居生活中
2

3. Agenda
1. AWS SSOを導入して何が変わったの？
2. 導入時に起こったちょっとした問題
3. 今後やろうとしていることの紹介
3

4. 質問！
今までどうやって
AWSにログインしてた？
4

5. デフォルトのAWSログイン画面？
親の顔より見たログイン画面かも
5

6. それともSwitchRole？
6

7. AWSログイン画面の使いにくいころ
「AWSアカウントの番号とか知らんわｗ」
「パスワードリセットが管理者しかできんって
マ？」
「AWSアカウントごとにIAMユーザーとポリシ
ーを管理するのめんどくさすぎ。。。」
7

8. SwitchRoleの使いにくいころ
「AWSアカウントの番号とか知らんわｗ」
「色が６つって少なスギィ！」
「Switch先のIAMロール名がわからん！」
「ブラウザのCookie削除したら
設定消えてもうた。。。」
8

9. AWS SSOを
導入すると？
9

10. 自分がログインできる
AWSアカウントとIAMロールが
初めから一覧で表示されます。
ログイン後の画面
10

11. １つのAWSアカウント上で
ユーザのアクセス管理ができる
AWS SSOの構成図
11
このAWSアカウン
トで管理するだけ

12. AWS SSO導入して
管理者も開発者も
みんなハッピー
12

13. と思ったが、
そうは問屋が卸さず。。。😈
13

14. 「ローカル環境構築時に共通の
アクセスキーを使ってるんだ
けどどうすればいい？」
14

15. ローカル環境構築時とは？
15

16. ローカル環境構築時とは？
こちらのキーが漏れると
・どこからでも
シークレットマネージャーから値を取れてしまう
・誰がいつアクセスしたのか特定が難しい
16

17. どのように解決したの？
17

18. どのように解決したの？
まずはローカル環境向けのシークレットマネ
ージャーを商用から分離
肥沼さんありがとうございました！！
18

19. どのように解決したの？
AWS CLI v2で$aws sso loginを行うとSSOユ
ーザーでAWSにアクセスできるようになる。
その時のセッション情報を利用するように
$ make dotenvの処理を書き換えた
19

20. どのように解決したの？
20

21. ひとまず一件落着👏
21

22. アクセスキーの長期的な利用は
AWSのベストプラクティスに沿
っていません！
参考資料：AWS アクセスキーを管理するためのベストプラクティス
https://docs.aws.amazon.com/ja_jp/general/latest/gr/aws-access-keys-best-practices.html 22

23. アクセスキーの発行は
必要最低限にしましょう！
参考資料：AWS アクセスキーを管理するためのベストプラクティス
https://docs.aws.amazon.com/ja_jp/general/latest/gr/aws-access-keys-best-practices.html 23

24. 今後やろうとしていることの紹介
24

25. AWS Client VPNの導入
● Basic認証でごまかしている部分の解消
● 社員向け管理サイトのアクセス制御
25

26. 26
● EC2インスタンスが落ちても表示できる
メンテナンスページの仕組み作り
● ALBによるメンテナンス状態の切り替え
メンテナンスページの分離

27. Thank you!
27