AWS IAMの属人的な管理からの脱却【DeNA TechCon 2021】/techcon2021-19

AWSをはじめとするクラウドプラットフォームの普及に伴い、DevとOpsの境目はかなり曖昧になっています。その中でもIAMの管理は設定によっては権限昇格を引き起こしかねないことから、その管理権限は慎重な管理になりがちです。結果的に、IAMは属人的な管理を行っている組織が多いのではないでしょうか。 一方で、DevとOpsの境目がどんどん曖昧になっていく中で、IAMロールやIAMユーザーを自由に作りにくい状況があると大変不便です。IAM関係のトライ・アンド・エラーが手軽に行えないことから、開発速度の鈍化を引き起こしたり、アーキテクチャ設計の上で運用上の足かせとなったりといったことが起こります。 また、それらの問題を回避しようとした結果として、IAMロールやIAMユーザーの使い回しが横行しはじめるなど、結果的に最小権限の原則が守られなくなっていくことも少なくはないのではないでしょうか。最小権限の

[lesamoureuses]

脱却したい

[T-miura]

すげえな、、、

[knok]

権限管理のInfra as codeか

[door-s-dev]

個人的にはガードレール的な方向が好きだけどキッチリやる場合はこうするのか

[tettekete37564]

IAM で最小限の権限設定って暗黙的に必要な権限が不透明だから、これって ReadOnly 系っぽいのに別途特定のWrite系権限必要なんだ、みたいなの多くてめんどくせえってなる。パワーユーザ権限でコレできないんだ、とか

[tanimiyan]

問題意識は激しく頷くところ

[umai_bow]

これ問題定義から解決策の提案までは首がもげるほど頷けるんだけど、IaaCのためにライブラリ自作はやりすぎじゃない？CDKの自由度高いのが嫌なら生CloudFormationでいいのでは

[Ytra]

IAM管理をGitHubでやるとは、これは面白い

[sora_h]

アカウントどれくらい分けてるんだろう(なぜならリソースレベルの制御が全然できないサービスもあるのでこれは全てをカバーできない認識)

[yosshi1202]

部分的に管理権限を委譲できるのか

[karupanerura]

話しました https://techcon.dena.com/2021/session/19/

[akahigeg]

理想的な状態に持ってくのはリソースがないとなかなか難しいな

[ko-ya-ma]

権限管理権限を部分的に移譲したり、あれこれ