スタートアップでどのようにAWS Control Towerを導入したのか
自己紹介
現在WHITE CROSSという歯科医療向けのWEBメディアや事業を行っているスタートアップでエンジニアとして働いています。小倉です。
好きなAWSサービスはAmazon RDS for Auroraです。
概要
この記事ではスタートアップがどのような経緯、手順でControl Towerを導入したのかを記述しています。
なので、あまりControl Towerの操作方法には触れていません。
それについて知りたい方は本記事最下部の「Control Tower導入時に参考にした記事一覧」にある記事をご参照ください。
自社が抱えていた課題
スタートアップというのは早くサービスをリリースし、早くPMFすることを目指します。
すると、どうしてもインフラ・セキュリティは後回しになっていることがあります。
弊社の過去のインフラ構成での課題を２つ挙げます。
1. 単一のVPCで複数のプロダクトが稼働していた
もちろん単一のVPCの中で複数のプロダクトを動かすことは可能です。しかし、１つのプロダクトで必要な設定は共通のネットワークACLに対して行います。そうすると、他のプロダクトは不要なネットワークの設定がされている状態になります。リスクを抱えたままプロダクトを動かしていることになるので、これは早急に解決したい課題でした。
ネットワークACL・・・Amazon VPCのファイアーウォール機能。
2. IAMユーザー・ロールの管理が統制されていなかった
IAMユーザー・ロールの管理は個人がその時に必要な権限を設定していました。もちろん各々がしっかりとした権限管理を行うことが出来れば気にすることはないです。しかし、スタートアップはどんどんと組織が大きくなります。そのような環境下で権限管理を個人の塩梅に任せることは不可能でしょう。
以上の２つの課題をAWS ソリューションアーキテクトの方に相談する機会をいただきました。
そして、この２つを解決するソリューションとして提案していただいたサービスがAWS Control Towerでした。
Control Towerとは...
AWS Control Tower は、ランディングゾーンと呼ばれる安全なマルチアカウント AWS 環境をセットアップおよび管理するための最も簡単な方法を提供します。AWS Control Tower は、AWS Organizations を使用してランディングゾーンを作成し、継続的なアカウント管理とガバナンス、およびクラウドに移行する数千のお客様と連携してきた AWS の経験に基づいた実装のベストプラクティスを提供します。AWS Control Tower では、ビルド担当者は新しい AWS アカウントを数クリックだけでプロビジョニングでき、しかもアカウントは貴社全体のポリシーに準拠しているという安心感が得られます。
簡単に説明すると、「AWSが推奨する環境をたった60分程度でセットアップしてくれるサービス」です。
サービス名「Control Tower」で画像検索すると「航空管制塔(Air Control Tower)」が出てきます。
Control Towerは航空管制塔のように、AWSのクラウド環境を統制するために作られたサービスだとイメージできます。
結論、Control Towerはスタートアップが使用するべきサービスだと思います。
なぜスタートアップこそControl Towerを使用すべきかはこの後自分も解説しますが、詳しくはAWS スタートアップ ソリューションアーキテクトの松田様の記事をご参照いただければ幸いです。
Control Tower導入までに行ったこと
Control Towerを導入するまでに主に以下3つを行いました。
- OU設計
- 権限設計
- ルートアカウントの管理方法検討
1. OU設計
Control Towerでアカウントを作成する場合、そのアカウントはOU配下に配置します。
なので、どのアカウントをどのOUに配置するかを設計しました。
Control Towerを使用する前提でOUを設計する上で注意しなければ行けない点が1点あります。AWS Organizationsを使用した場合は、OU配下にOUを配置することが出来ます。ただ、Control Towerの場合、現時点(2021/12)ではOU配下にOUを配置することが出来ません。この点が既にOrganizationsでマルチアカウント運用している企業にとってはネックになるのか分かりませんが、自分たちには特に気になる問題ではありませんでした。
設計時には以下の記事を参考にしました。
2. 権限設計
次に権限の設計を行いました。
ここでは以下のことを決定しました。
- アカウントに紐づくグループ名
- アカウントに紐づくアクセス権限セット名
- アクセス権限セットを用いて実際に行う操作の説明
- アクセス権限セットに与える権限
- アクセス権限セットのセッション時間
- グループに属するユーザー
あらかじめ決めておくことで、後はコンソールでの操作に集中できました。
これらをコンソールの操作をしながら決定するのはなかなか難しいと思います。
なので、フォーマットは何であれ、あらかじめ設計しておくことをおすすめします。
3. ルートアカウントの管理方法検討
Control Towerでマルチアカウント運用を行った場合、ルートアカウントは全ての権限を持つことになります。そのため、万全な対策を行い、なんとしてもアカウントの乗っ取りを防がなければなりません。
どのようにルートアカウントを管理するかを予め決定しておくことで、予期せぬルートアカウントの乗っ取りリスクを避けます。
これに関しては以下の記事を参考にしました。
旧AWSアカウントでは個人のスマートフォン端末で2段階認証を登録してありました。
しかし、個人のスマートフォンだと端末を持ち歩くので紛失・破損する可能性がある、その方が組織を離れる可能性があるなど、２段階認証の端末としては不十分です。
今回、弊社ではユビキーを購入し、それを２段階認証を行う端末として登録しました。
これによりルートアカウントでログインする場合はユビキーが必ず必要になりました。ただ、そもそもルートアカウントへの頻繁なログインは推奨されていません。なので、ユビキーを厳重に保管することでルートアカウントへの不正アクセスや誰かが持ち歩くスマートフォンの心配が少なくなりました。弊社ではユビキーを購入して良かったと思います。ユビキー楽だし。
Control Towerに対する感想
まず、Control Towerを使用することで、元々抱えていた課題2つを解決することが出来ました。課題を解決するだけなら色々と方法がありますが、Control Towerを使用すると、AWS SSOによるシングルサインオン環境の導入・AWS CloudTrailやAWS Config・ガードレールなどのセキュリティ系サービスのセットアップなどが簡単に行えました。これらのサービスはもちろんControl Towerがなくても導入出来るし、するべきです。しかし、それらが重要だとステークホルダーを説得出来ない場合は、なかなか導入に踏み切れない組織も多いと思います。
特にスタートアップでは、これらの導入のためにサービスのリリースが遅れることは許容されないでしょう。
しかし、Control Towerを使用することでこれらを簡単に導入できます。
ぜひまだ導入されていない組織、団体、特にスタートアップはControl Towerをご検討されてはいかがでしょうか？
広報
ツイッターやってるのでフォローしてください！
絶賛仲間募集中です。
フロント、バックエンド、インフラ、SRE、デザイナーどこのポジションでも大歓迎です！
(一応求人貼り付けましたが、よく分からなければDMください。)
Control Tower導入時に参考にした記事一覧
Discussion