<p><img src="https://storage.googleapis.com/zenn-user-upload/dfb5ad3f7e2d-20240425.png" loading="lazy" class="md-img"></p>
<p>こんにちは、インフラエンジニアの伊藤です。</p>
<p>今回は、最近弊社で導入したAccount Factory for Terraform(AFT)に関して、背景や今後展開していきたい内容などのお話をします。</p>
<h2 id="aws-control-tower-account-factory-for-terraform(aft)%E3%81%A8%E3%81%AF">
<a class="header-anchor-link" href="#aws-control-tower-account-factory-for-terraform(aft)%E3%81%A8%E3%81%AF" aria-hidden="true"></a> AWS Control Tower Account Factory for Terraform(AFT)とは</h2>
<p><a href="https://developer.hashicorp.com/terraform/tutorials/aws/aws-control-tower-aft" target="_blank" rel="nofollow noopener noreferrer">hashicorp</a>に記載されている内容によると</p>
<blockquote>
<p>AWS Control Tower Account Factory for Terraform (AFT) は、組織のセキュリティガイドラインに準拠した新しいアカウントを簡単に作成およびカスタマイズできる Terraform モジュールです。AFT では、AWS Control Tower アカウントを自動かつ一貫して作成するためのパイプラインを定義し、Terraform のワークフローと Control Tower のガバナンス機能の利点を提供します。AWS がこのモジュールを保守します。</p>
</blockquote>
<p>とのことです。</p>
<p>またAFTはマネージドサービスではなく、所謂ソリューションになります。</p>
<p><img src="https://res.cloudinary.com/zenn/image/fetch/s---ctcVJMi--/c_limit%2Cf_auto%2Cfl_progressive%2Cq_auto%2Cw_1200/https://developer.hashicorp.com/_next/image%3Furl%3Dhttps%253A%252F%252Fcontent.hashicorp.com%252Fapi%252Fassets%253Fproduct%253Dtutorials%2526version%253Dmain%2526asset%253Dpublic%25252Fimg%25252Fterraform%25252Faws_ct_diagram.png%2526width%253D1728%2526height%253D1074%26w%3D3840%26q%3D75" loading="lazy" class="md-img"><br>
一般的な AFT スキーマ (出典: <a href="https://developer.hashicorp.com/terraform/tutorials/aws/aws-control-tower-aft#review-aft-components-and-workflow" target="_blank" rel="nofollow noopener noreferrer">Hashicorp AFT</a> )</p>
<h2 id="aft%E5%B0%8E%E5%85%A5%E3%81%AB%E8%87%B3%E3%81%A3%E3%81%9F%E8%83%8C%E6%99%AF">
<a class="header-anchor-link" href="#aft%E5%B0%8E%E5%85%A5%E3%81%AB%E8%87%B3%E3%81%A3%E3%81%9F%E8%83%8C%E6%99%AF" aria-hidden="true"></a> AFT導入に至った背景</h2>
<p>現在ウェルスナビでは、サービス関係のアカウントが本番用、開発用含めた10個に加えて、<br>
監査ログやマスターアカウントなど設定系のアカウントが8個ほどの計18アカウント存在しています。また複数プロダクト展開を見据えており、今後もアカウントは増加する予想です。<br>
弊社ではプロダクトレベルでの開発者の権限の調整に対する複雑さなどを考慮した結果、AWSマルチアカウントの前提とした運用方針になっています。<br>
そのため、AWS Control Tower経由でアカウントを管理していましたが、下記問題が発生していました。</p>
<ul>
<li>
<p>新規アカウントを払い出す際、毎回権限の設計や、責任区分の明確化などが発生しており、払い出すまでの間に非常に時間がかかってしまう。</p>
</li>
<li>
<p>弊社はAWS OrganizationsやControlTowerのサービス提供前からAWSを利用しているため、局所最適に陥っている箇所がある<br>
...</p>
</li>
<li>
<p>etc.</p>
</li>
</ul>
<h2 id="%E9%81%B8%E5%AE%9A%E7%90%86%E7%94%B1">
<a class="header-anchor-link" href="#%E9%81%B8%E5%AE%9A%E7%90%86%E7%94%B1" aria-hidden="true"></a> 選定理由</h2>
<p>AWS Control Towerの調整においては大まかには下記の手段があります。</p>
<ul>
<li>
<p>AWS Control Tower のカスタマイズ (CfCT): Terraform非対応（CloudFormationのみ）</p>
</li>
<li>
<p>AFC: Terraform対応。ServiceCatalogの適用は手動。設定できるBluePrintは1つだけ。</p>
<ul>
<li>弊社での導入時にはまだTerraform未対応でした。</li>
</ul>
</li>
<li>
<p>AFT: Terraform対応。GitOpsで展開できる</p>
</li>
</ul>
<p>これらのことを踏まえた上で、TerraformでIaCを実施していて、且つGitOpsを採用している弊社としては、AFTを導入することが一番適していると判断しました。<br>
結果的にセキュリティガードレールやVPC等の初期設定といった全体的な対応、開発者の権限や社内からの通信のみを許可するためのSGの作成といったアカウント単位での個別対応のコストが軽くなりました。</p>
<h2 id="aft%E5%B0%8E%E5%85%A5%E3%81%AB%E3%82%88%E3%81%A3%E3%81%A6%E5%AE%9F%E7%8F%BE%E3%81%A7%E3%81%8D%E3%81%9F%E3%81%93%E3%81%A8">
<a class="header-anchor-link" href="#aft%E5%B0%8E%E5%85%A5%E3%81%AB%E3%82%88%E3%81%A3%E3%81%A6%E5%AE%9F%E7%8F%BE%E3%81%A7%E3%81%8D%E3%81%9F%E3%81%93%E3%81%A8" aria-hidden="true"></a> AFT導入によって実現できたこと</h2>
<p>アカウント作成の高速化や、コード管理下におけたという点において、非常に楽にはなっています。しかしながら現状まだAFTのメリットを十分に活用できているとは言い難く、今後も引き続き改善を進めていく必要がある状況です。</p>
<h2 id="aft%E5%B0%8E%E5%85%A5%E3%81%AB%E9%96%A2%E3%81%97%E3%81%A6%E8%8B%A6%E5%8A%B4%E3%81%97%E3%81%9F%E3%81%93%E3%81%A8">
<a class="header-anchor-link" href="#aft%E5%B0%8E%E5%85%A5%E3%81%AB%E9%96%A2%E3%81%97%E3%81%A6%E8%8B%A6%E5%8A%B4%E3%81%97%E3%81%9F%E3%81%93%E3%81%A8" aria-hidden="true"></a> AFT導入に関して苦労したこと</h2>
<p>未だに導入事例が少なく、自社の環境によって変わってしまう部分もあるため、設計こそ大変ではあります。<br>
簡単な例としては、IAM Identity Center権限セットなど一定以上、変更頻度が高く想定されているものに関しては、別のTerraformで管理した方がやりやすい認識です。<br>
またそもそもデフォルトの状態だと、マスターアカウント自身を管理対象にはできず、ある程度作り込む必要があります。<br>
このように共通設定、アカウント単位の設定、AFT外で管理すべきものを選別していくことなどが挙げられます。</p>
<h2 id="%E4%BB%8A%E5%BE%8C%E5%AE%9F%E6%96%BD%E3%81%97%E3%81%9F%E3%81%84%E5%86%85%E5%AE%B9">
<a class="header-anchor-link" href="#%E4%BB%8A%E5%BE%8C%E5%AE%9F%E6%96%BD%E3%81%97%E3%81%9F%E3%81%84%E5%86%85%E5%AE%B9" aria-hidden="true"></a> 今後実施したい内容</h2>
<p>今後としては下記内容を取り組んでいきたいと考えています。</p>
<ul>
<li>AWS Config Rulesでの設定配布
<ul>
<li>現状GuardDuty, SecurityHub, CloudTrailはOrganizationsの機能で配布しています。</li>
</ul>
</li>
<li>本番環境における権限のジャストインタイム対応
<ul>
<li><a href="https://aws.amazon.com/jp/blogs/news/managing-temporary-elevated-access-to-your-aws-environment/" target="_blank" rel="nofollow noopener noreferrer">AWSによるTEAM解説</a></li>
</ul>
</li>
<li>VPC設定やCI/CD用のRole作成、ルートアカウントの無効化とMFAの強制などの初期設定の充実化</li>
</ul>
<h2 id="%E3%81%95%E3%81%84%E3%81%94%E3%81%AB">
<a class="header-anchor-link" href="#%E3%81%95%E3%81%84%E3%81%94%E3%81%AB" aria-hidden="true"></a> さいごに</h2>
<p>マルチアカウントをコード上で管理・把握ができるということは、アカウントに対してのセキュリティ面、開発効率面など、様々な観点での見落としが発生しづらいです。またその解決も容易に行うことができるため、インフラ側、開発者側の双方にとって有難いことだと感じています。</p>
<p>明日は、AIグループ責任者 上杉 の「データ活用戦略とは、科学的アプローチの日常化である」です！<br>
お楽しみに！</p>
<hr>
<h4 id="%F0%9F%93%A3%E3%82%A6%E3%82%A7%E3%83%AB%E3%82%B9%E3%83%8A%E3%83%93%E3%81%AF%E4%BA%8B%E6%A5%AD%E3%81%AE%E3%82%B9%E3%82%B1%E3%83%BC%E3%83%AB%E3%82%92%E6%94%AF%E3%81%88%E3%82%8B%E5%9F%BA%E7%9B%A4%E4%BD%9C%E3%82%8A%E3%82%92%E3%81%99%E3%82%8B%E4%BB%B2%E9%96%93%E3%82%92%E5%8B%9F%E9%9B%86%E4%B8%AD%E3%81%A7%E3%81%99%F0%9F%93%A3">
<a class="header-anchor-link" href="#%F0%9F%93%A3%E3%82%A6%E3%82%A7%E3%83%AB%E3%82%B9%E3%83%8A%E3%83%93%E3%81%AF%E4%BA%8B%E6%A5%AD%E3%81%AE%E3%82%B9%E3%82%B1%E3%83%BC%E3%83%AB%E3%82%92%E6%94%AF%E3%81%88%E3%82%8B%E5%9F%BA%E7%9B%A4%E4%BD%9C%E3%82%8A%E3%82%92%E3%81%99%E3%82%8B%E4%BB%B2%E9%96%93%E3%82%92%E5%8B%9F%E9%9B%86%E4%B8%AD%E3%81%A7%E3%81%99%F0%9F%93%A3" aria-hidden="true"></a> 📣ウェルスナビは事業のスケールを支える基盤作りをする仲間を募集中です📣</h4>
<p><span class="embed-block zenn-embedded zenn-embedded-card"><iframe id="zenn-embedded__beec6e4c66f05" src="https://embed.zenn.studio/card#zenn-embedded__beec6e4c66f05" data-content="https%3A%2F%2Frecruit.wealthnavi.com%2F" frameborder="0" scrolling="no" loading="lazy"></iframe></span><a href="https://recruit.wealthnavi.com/" style="display:none" target="_blank" rel="nofollow noopener noreferrer">https://recruit.wealthnavi.com/</a></p>
<hr>
<p><strong>筆者プロフィール</strong></p>
<p>伊藤 拓矢(いとう たくや)</p>
<p>3年ほどasoviewにて、SRE、情シスを担当。<br>
2023年1月ウェルスナビにインフラエンジニアとして入社。<br>
最近はサウナにハマりだし、毎週末の楽しみになっています。</p>


ウェルスナビにおけるAccount Factory for Terraformの導入事例

AWS Control Tower Account Factory for Terraform(AFT)とは

AFT導入によって実現できたこと

Discussion