TEAM の導入と最高のエンジニアリングチームの構築

セッションノート

マルチアカウントと IAM の設計:

• [ 1 ] シングルアカウントアーキテクチャ:
• 権限管理が複雑で、セキュリティの確保が困難
• ワークロードごとのコスト追跡が困難
• 運用ミスやクォータの問題が発生しやすく、運用が困難
• [ 2 ] マルチアカウントアーキテクチャ:
• 権限を分離してセキュリティを向上
• 各ワークロードのコストを容易に把握
• 作業の影響を最小限に抑えて運用効率を向上 ジャンプアカウント方式:
• ジャンプアカウントを設定し、IAM ユーザーを集約
• ユーザーはジャンプアカウントにログインし、各アカウントのロールに切り替える
• 各アカウントの権限は対象ロールに付与
• ジャンプアカウント方式を使用した IAM 設計のヒント:
• [ 1 ] 実際の役割に基づいてグループを作成
• [ 2 ] 役割に基づき、アカウントごとにロールを作成
• [ 3 ] IAM グループごとに切り替え先アカウントと IAM ロールを定義 TEAM によるアクセス制御:
• 本番環境のアクセス制御をどのように扱うべきか？
• 変更管理: いつ、誰が変更作業のために本番環境へアクセスしたか？
• 本番アクセス制御: 本番環境にはいつでもアクセスできるか？

TEAM によるアクセス制御

TEAM（Temporary Elevated Access Management）とは？

• Temporary Elevated Access Management の略称
• アカウントへのアクセスを管理するための承認ベースのワークフロー
• IAM Identity Center アクセスポータルからアクセス可能なアプリケーションとして提供 TEAM による本番アクセス制御のワークフロー（申請）:
• [1/3] 本番アカウントには読み取り専用権限のみを持つ状態で、アプリケーションから TEAM を選択
• [2/3] リクエストを作成
• [3/3] まだ承認されていないため、ステータスは保留中 TEAM による本番アクセス制御のワークフロー（承認）:
• 承認者は「リクエストを承認」から該当するリクエストを選択し、コメントを入力して承認 TEAM による本番アクセス制御のワークフロー（権限付与）:
• 本番アカウントへのアクセス権限が追加済み
• 承認されたため、ステータスは「承認済み」に設定 全体的な TEAM の構成:
• ① IAM Identity Center の Amazon Web Services アクセスポータルにアクセス
• ② TEAM アプリケーションにアクセス
• ③ 昇格アクセスを申請
• ④ 昇格アクセスを承認
• ⑤ 昇格アクセスを有効化
• ⑥ 昇格アクセスを実行
• ⑦ セッションアクティビティを記録
• ⑧ 昇格アクセスを終了
• ⑨ リクエストの詳細とセッションアクティビティログを確認

TEAM の設計と実装:

• IAM Identity Center への移行に向けた権限の整理:
• ① 各アカウントのロールとポリシーを整理し、Permission Set を作成
• ② ジャンプアカウントのグループとポリシーを整理し、Entra ID にグループを登録
• ③ 割り当てを作成し、CloudFormation を活用 ペルソナの割り当てと承認ワークフローのルール設計:
• TEAM には4つのペルソナがある（アクセス申請、アクセス申請の承認、ログ監査、ルール管理）
• ペルソナの割り当てと承認ルールを設計
• ペルソナ割り当ての設計
• 何を承認申請すべきか？
• 誰が承認または却下すべきか？
• 承認を付与する最長時間
• 通知先（メール、チャット...） 小規模な運用から適用範囲を段階的に拡大:
• 小規模なチームで運用をテストし、適用範囲を段階的に拡大
• 個人 → 自分のチーム → 部門全体
• [ 1 ] 既存システムと並行運用
• 業務への影響を最小化
• [ 2 ] フィードバックに基づいて設定と運用を見直す
• ペルソナの割り当ては十分か？意図しない権限が付与されていないか？ IAM Identity Center x TEAM:
• Entra ID からプロビジョニングされた SSO ユーザーを使用
• IAM Identity Center アクセスポータルを介して非本番アカウントのロールに切り替える
• TEAM での承認後に非本番アカウントのロールに切り替える

TEAM の利点:

• IAM Identity Center x TEAM:
• [ 1 ] ユーザーの観点:
• アカウント間のロール切り替えがより簡単になった
• リクエストまでの経路が短くなり、UI がよりシンプルで明確になった
• 開発効率が向上
• [ 2 ] 管理者の観点:
• IAM 管理から解放
• ペルソナの割り当てやリクエストルールなどの設定管理がより簡単になった
• 運用効率が向上 まとめ:
• 「TEAM」を通じて、すべての「Team」メンバーの運用意識とセキュリティ意識が向上
• マルチアカウント構成では、本番アカウントのアクセス管理を検討
• 「IAM Identity Center x TEAM」により容易な制御が可能
• TEAM の実装により、チームの生産性、セキュリティ、コンプライアンスが向上