FinatextにおけるAWSのガードレール戦略の紹介

はじめにこんにちは、Finatextでエンジニアをしている @s_tajima です。 Finatextでは、現在約40個のAWSアカウントを管理しています。 それぞれのAWSアカウントは、あるサービス専用になっていたり、いくつかのサービスが同居していたり、本番環境用だったり、開発環境用だったりと用途は様々です。 この中には、 証券ビジネスプラットフォームのBaaS を提供しているAWSアカウントも含まれます。 このBaaSに限らずとも、金融ドメインで広くサービスを提供しているFinatextでは、その基盤となっているAWSのセキュリティの管理が非常に重要になってきます。 今回は、弊社がAWSのセキュリティを担保するためにどんな運用をしているかというお話です。 既に複数のAWSアカウントを管理している方、特に管理はしているもののいまいち適切な状態になっていないと感じている方に読んでいただけ

[sh19910711]

"権限は付与するが、本当にリスクの高い操作はできない、もしくはすぐにそれに気づくことができ、ログを確実に追うことができる / AWS OrganizationのSCPs: AdministratorAccessの権限があっても実行できないAPIを定義"

[thaim]

“専用のAWSアカウントであれば権限を厳しくしやすい”そっか。だからrootアカウントでなく別アカウント作るのか、納得。

[sfujiwara]

うちもだいたい似た感じ。アカウント内の権限締めすぎると許可が煩雑すぎるので、危険そうなことをしたら検出できるようにしている

[fumikony]

良さそう

[akitsukada]

かなり素晴らしい