note 社の AWS 権限設計の変遷を辿る｜かとうかずや | kakato

いつの世も人々は権限設計に苦しめられている。そうは思いませぬか。 ご多分にもれず、ぼくも note に入ってからというもの AWS の権限設計をどうしてやろうかと、あれこれ思い悩みまくった人間でした。 組織が変われば権限も変わる。誰が何をしたいのかなんてとても把握しきれないし、かといって全員に Administrator を割り振るような豪胆さも持ち合わせておらず。組織再編が繰り返される中で、なんとか運用に耐えうる設計を考え、実装しようと試みた内容をまとめたのがこの note です。 note 社における AWS 権限設計の変遷と、その結果生まれた自動で AWS の権限を払い出す仕組みについて書いていきます。 ※この記事はnote株式会社 Advent Calendar 2022 の 25 目の記事です。 注意事項つらつらと書き連ねていたら 12,000 字超の大作 note となってしま

[hs_hachi]

参考になります。感謝🙌

[NHo]

初期からAWS SSOいれてるのは格段に管理しやすくなる

[remonoil]

"production 環境は ReadOnly 権限を全エンジニアに付与" 個人的にこれは従業員を信用しすぎ

[Lumin]

すげえいい記事

[fog-og-frog2]

ABACによるタグ付けとそれによる一時的な権限付与…から先がまた長かった。運用してみないとわからんこと色々あるな。残セッション問題への対処は確かにダーティハック感あるので、この辺また1年後変わってそう笑

[krrrr]

一時的な権限付与、必要な特定リソースだけ触らせるためのpolicyみたいのが欲しくなるがそれのメンテも面倒だし、ConsoleMeみたいなものも導入したくないみたいな悩みがずっとある

[tkmkg8m]

なるほどなぁ: “3. production 環境は ReadOnly 権限を全エンジニアに付与” “4. production 環境でリソース変更を行いたい場合には申請を行い、必要な期間だけ権限を取得”

[wazpk6no]

いい記事なんだけど、こんなこと言ってる場合か？と脳裏をよぎってしまう。

[mapk0y]

むっちゃ面白かった

[mayumayu_nimolove]

こう言うのめんどくさいから他のプラットフォーム無いかなとか考えちゃうんだけどちゃんと考える人偉いよ

[dkfj]

おお、これは知見の塊だ。あとでじっくり考えてみよう