「スタートアップだから」が通用しない、大手製造業向けSaaSのAWSセキュリティ設計

ARANK

はじめに株式会社FAcraftの山本です。FAcraftは、大手製造業向けのSaaSを開発・運用している小規模なスタートアップです。サービス基盤の一つとして、AWSを利用しています。SaaSを提供する以上、しっかりとしたセキュリティ対策を行うことは当然ですが、大手製造業向けにサービスを提供していると、顧客からも具体的で高い水準のセキュリティ要件を求められることが珍しくありません。FAcraftでも、少人数のスタートアップとしてはなかなか重いと思えるようなセキュリティ構成をAWS上に構築しています。この記事では、その全体像と、それぞれの仕組みをどのような意図で取り入れているのかを紹介したいと思います。1. AWSアカウントへの入り口ログインする社内 IdP のアカウントで認証すると、AWS access portal から各 AWS アカウントへアクセスできます。図1: サインインすると、入れるアカウントと権限が並ぶ通常時は、必要なアカウントの読み取り（ReadOnly）だけ付与しています。権限申請持っていない権限は、Slack から申請します。承認されれば最長4時間付与されます。申請には自動承認と手動承認があり、利用者ごとに、自動承認の対象となる権限セットをあらかじめ…