AWSシンジ最強のセキュリティでAWSマネジメントコンソールにアクセスする方法ツイートシェアはてブ送るPocketシンジです。AWSへのログイン時、普通はアカウント名とパスワードを使いますよね?今時パスワードは危ないと思いませんか?そこで多要素認証ですよね。cloudpackは多要素認証すら使いません。パスワードを入力するという行程がそもそも無いからです。Connectを用いて専用線による接続を行っています。複数拠点を閉域網で閉ざされたネットワークを構成しています。インターネットはどこから出入りするかというと、一度全ての通信は品川データセンターに集約されて、そこから単一のグローバルIPで通信するようになっています。これによって、どの拠点からでもお客様環境にアクセスするIPアドレスは1つに完全固定出来るわけです。セキュリティグループの設計が楽になりました。将来的にはグローバル回線の冗長化(大阪データセンター)も計画していますが、それはまた追々。やってAWSへのパスワードログインを無くすのか端的に言えば「シングルサインオン(SSO)」です。Directory)にて、パソコン・Macにログインするときのアカウント名とパスワードが唯一のアカウント情報となり、これで全てのサービスにログイン出来る仕組みとなっています。いう製品を導入しました。1ユーザライセンス単位でおいくら、と言った製品ですが、かなり安いです。国内ではマクニカネットワークスさんから購入できます。SSO関連商品はいろいろ比較しましたが、これは個人的にかなりオススメです!ご興味あればご紹介出来ますのでご連絡下さい。やって顧客アカウントにSSOするかまず社内の専用Webツールにアクセスします。自社製のWebサービスです。IDというスマホアプリを使って、多要素認証を行います。この多要素認証は、iPhoneなどに通知がきて、上の画像のアイコン?を、シュッっと上に持ち上げるだけのお手軽認証です。数字入れなくていいの最高。無事ログインが出来ると、弊社管理のAWSアカウント一覧がずらっと列挙されます。(さすがにお目にかけられません)ここには「AWSマネジメントコンソールにアクセスするための専用ボタン」があり、「Read-Only」か「Admin-Console」かを選択できます。顧客環境にはアクセス出来ない「Read-Only」か「Admin-Console」のどちらの場合でも、これがヌーラボ社のBacklogと連携しており、アクセス記録が残る仕組みになっています。社内専用ツール側でも残りますし、可視化されています。ログイン目的を書かないとアクセスできない特に「Admin-Console」の場合は、Backlogの課題に紐付く形で「ログインする目的」を書かないとログインできません。これによって、いつ・だれが・なんのためにアクセスしたのか記録します。「目的を書かなければならない」面倒さから、「Read-Only」への意識的誘導を行います。DirectoryのアカウントをAWSへフェデレーションするSAML(サムル)認証という物を使ってログインします。ADのアカウントでAWSへのフェデレーションログインが完了すると、通常AWSへのログイン時に聞かれる、アカウント名とパスワードを入力する画面が出てきません。多要素認証の画面も出てきません。社内のADと個人のブラウザが通信して、認証情報をAWS側に展開してあげているだけです。このシステムはメリットしか無い社員が退職・休職した際に、ADでアカウントを無効にしてやるだけで全てのサービスへのアクセス権が無くなるという点は特に大きいメリットです。設備として統合認証サーバーが閉域網で閉ざされていますので、インターネットを通じて社外環境からAWSマネジメントコンソールへのログインが出来ません。社内で複数のAWSアカウントを安全にかつコスト管理したいという人は多いのでは?ということで、cloudpackで使っているAWSログインツールを、需要があれば皆様へご提供したいとも考えています(販売になるとは思います、時期不明、思いつきレベル、たぶんやるならソースから全部書き直しw)AWSログインだけではなく、リザーブドインスタンス管理や、Billing管理、急激に増えた転送量へのアラートなど、一定の機能は一通り揃っています。WhitePaper」としてcloudpackのWebサイトで公開しています。その経緯がまとめられている取材記事がありますので合わせてどうぞ〜。コメントをキャンセルメールアドレスが公開されることはありません。“Logstorage”のどちらを採用するか悩み中USB充電器ブログの反響でかすぎてコメント欄を設置したRECOMMENDこちらの記事も人気です。