AWS CloudShell 禁止してみた #omoshiro_cloudshell

とうとうAWSにもCloudShell（他と違ってスペースなし）がやってきました。ブラウザベースのシェル環境、とても便利で利用シーンも多そうですが、セキュリティ・統制面では懸念点もあります。結果的に現時点ではルールが満たせず禁止するに至ったのでその経緯を書き留めておきます。 2020/12/29 AWS CloudShellおもしろ選手権登壇資料

[nice_and_easy]

セキュリティクレーマー呼ばわりしてるブコメがあるが、どうせ言うなら要件の出元である監査法人とか金融庁に直接言ってあげてほしい

[shodai]

検証してから使うのは偉いと思う

[inductor]

id:amamua タイトルしか読んでないのでは・・・？このスライドがクレーム目的に本当に見えるとしたらかなり危険な使い方をクラウドで常態的にやっているように思います。

[chimerast]

情報セキュリティと内部統制であって、システムセキュリティの話じゃないよ。とても真っ当な話だと思う。

[iselegant]

利便性と統制のお話。クラウド＝便利にbiasが掛かりがちだけど、アクセルだけでなくブレーキ観点もしっかり考慮が必要。タイトルはインパクトありですが、至極真っ当な内容ですね。

[karupanerura]

分かってたけど、実用には色々と課題があるよなぁ

[iekusup]

ほー。

[diveintounlimit]

内容は良かったので、もうちょい何か良いタイトルあったやろ、という気分。

[kiririmode]

まだ操作履歴が取れない

[quabbin]

ああ。Cloud Shellって、セキュリティ要件厳しい組織には向かない。そういうもんだし、いろいろやりたいなら自前でbatsion立てるべきなのよね。

[T-miura]

ログトレねえのかよ、、、session mangerとかは取れるのに、、、

[rrringress]

良い提言にみえる

[yarumato]

“ブラウザベースShell AmazonLinux2ベース 無料で1GB PythonやPostgresSQLも動くぞ 改行含むペーストはSafePasteポップアップ。EC2にssh接続は便利すぎ、問題か。CloudWatchに操作履歴残らない”

[ponpon_qonqon]

id:amamua あのな･･･90年代初頭まではUnix系マシンにアカウント持つだけでもrootさんにきちんと信用してもらう必要があって、wheelに入るには厳しいスキルチェックがあるのがあたりまえだったんだぞ。素人乙

[hagane]

セキュリティ要件によるだろうけど、対応しなきゃいけないことに対応できないのなら、一度根本から停止させなきゃならないのも仕方ないよな。発行したコマンドCloudTrailで取れないんだ…

[diabah_blue]

そうだねえ。

[perl-o-pal]

アクセスキーなしでaws cliたたけるのがメリットかなあ。//sshはどこからどこにアクセスしてるのか詳細をみたい。