![](https://res.cloudinary.com/zenn/image/upload/s--tqfukqyP--/c_fit%2Cg_north_west%2Cl_text:notosansjp-medium.otf_55:%25E3%2583%259E%25E3%2583%25AB%25E3%2583%2581AWS%25E3%2582%25A2%25E3%2582%25AB%25E3%2582%25A6%25E3%2583%25B3%25E3%2583%2588%25E7%2592%25B0%25E5%25A2%2583%25E3%2581%25AE%25E3%2582%25BB%25E3%2582%25AD%25E3%2583%25A5%25E3%2583%25AA%25E3%2583%2586%25E3%2582%25A3%25E3%2581%25A3%25E3%2581%25A6%25E7%2584%25A1%25E7%2590%2586%25E3%2582%25B2%25E3%2583%25BC%25E3%2581%2598%25E3%2582%2583%25E3%2581%25AD%25EF%25BC%259F%2Cw_1010%2Cx_90%2Cy_100/g_south_west%2Cl_text:notosansjp-medium.otf_37:Takuya%2520Terada%2Cx_203%2Cy_121/g_south_west%2Ch_90%2Cl_fetch:aHR0cHM6Ly9saDMuZ29vZ2xldXNlcmNvbnRlbnQuY29tL2EvQUNnOG9jSUJHdEJIQ2hzYXVjbWNMWFdaYlpBNG1LSmFrbGhSOF84WGttc0Rkb0E1eVZrPXM5Ni1j%2Cr_max%2Cw_90%2Cx_87%2Cy_95/v1627283836/default/og-base-w1200-v2.png)
マルチAWSアカウント環境のセキュリティって無理ゲーじゃね?
ARANK
対象読者様々なプロダクトへ AWS アカウントや環境を提供する SRE / CCoE チームを想定しています。マルチAWSアカウント環境SRE / CCoE は各プロダクトが安全かつ便利に AWS を利用できるよう、AWS アカウントの設定・払い出しや周辺コンポーネントの提供(踏み台・ID管理・ログ収集 etc...)を行います。 個別プロダクトの基盤設計や構築は行いません。私の担当案件では 100 以上の AWS アカウントを提供しています。これでも多いとは言えず、例えば NTT ドコモでは 2,000 以上の AWS アカウントを管理しているそうです。セキュリティ対応方針セキュリティグループの全開放や S3 バケットのパブリック公開など、AWS リソースの不適切な設定についての対応を考えます。ゲート型IAM ポリシーやサービスコントロールポリシー (SCP) で セキュリティリスクのある操作をすべて禁止してしまう という考え方です。セキュアではありますが、プロダクト側は SRE / CCoE へ変更依頼を出さねばならず、クラウドの良さがまったく享受できません。ガードレール型ガードレールは以下の 2 種類から構成されます。予防的統制:リスクのある操作をさせない発見的統制:リスクのある操作を検…