アクセス制御についてのセッションを受けました。アクセス制御についてのセッションを受けました。Japan』で公開されたセッションのレポート記事です。アクセス制御についてのセッションをご紹介します。(GCP)さいちゃん2021.11.26114この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。その中でも気になったセッションをピックアップしてレポートをしていきたいと思います。Intelligenceと呼ばれるIAMのポリシー分野の最新サービスを紹介してくれるセッションになっています。最小特権の原則これは、セキュリティを確保するためのベストプラクティスとしてユーザが職務を遂行するために必要な最小限の特権を与えるという情報セキュリティの基本的な考え方です。クラウドの複雑化によって、最小特権を付与することが非常に困難になってきています。gartnerの調査によると、95%以上のアカウントが与えられた権限のうち3%未満しか使っていないことがわかっています。なってしまうのは、セキュリティポリシーが正しく適用されていない状況の可視化がうまくできていない適切な権限がわからないというような理由が考えられます。クラウドは柔軟性がある分適切な管理、監査をすることが困難になってきています。Intelligenceを使うことで解決ができます。Intelligenceには3つの方針が定められています。Intelligenceに含まれる機能は次のスライドの通りです。このセッションではこれらの機能がより詳しく説明されていました。Recommenderこの機能では過剰なアクセス権限が付与されていた場合に簡単に修正することができます。IAM管理者はすでにこの機能をいつでも使うことができるようになっています。AIが推奨されるIAMの設定を自動的に作成をし、付与された権限の数と、実際に使用されている権限の数を併せて表示してくれます。データの取集や分析もすべてGoogleがしてくれたうえで最適解を提案してくれるというわけです。詳細な操作方法についてはセッションでこのような形で説明されていましたのでぜひ動画をご覧ください。最新機能としてラテラルムーブメントの分析ができるようになっています。他のプロジェクトでなり替わりの権限を持つすべてのアカウントを調べることができるため、インサイダーリスクの軽減に役立てることが可能になっています。Recommenderを使い、ラテラルムーブメントの脅威を軽減。なりすまし可能な権限を削除する。Analyzerこの機能はだれが何にアクセスできるのかを把握するのに役に立つ機能になっています。テンプレート化されたクエリを定期実行することによって高い権限を持つユーザーや本番リソースへの権限の変更を監視することができるようになっています。クエリを選択するだけで、数秒で実行結果が出るようになっており、確認したい情報をすぐに把握することができます。Simulator本番環境でのアクセス権限の変更の場合、権限を削除するのは少し怖いため、過剰な権限を付与しているにもかかわらずそのまま放置してしまっているケースがよく見られるようです。この機能は安全にアカウントの権限変更や削除をするためのツールです。提案されたポリシーの変更を過去90日間のアクセス履歴と照合し、変更によって影響が出ないか確認することができます。Troubleshooterこの機能はあるアクションが許可もしくは拒否された理由を教えてくれるものになっています。アクセス拒否をされたのかを簡単に確認することができます。Troubleshooterを使いポリシーの有効性を確認グループやネストされたグループによって与えられた、リソースへのアクセス権のトラブルシューティングを行うTargetのユーザー事例Targetは全米規模のディスカウント小売業者で、1800以上の店舗とEコマースサイトがあります。GoogleCloudを効果的に活用している企業の一つといえます。230を超えるプロジェクト数と1500人のエンジニアと開発者がいるTargetのGoogleCloudにおける戦略は再現性、移植性の高い環境とエクスペリエンスの提供プラットフォームの抽象化、一貫した開発者エクスペリエンスの実現できるだけリソースにはゼロタッチとなっています。これに対して課題がこちらです。Recommenderを使い最小権限を実現。Intelligenceの機能を使い戦略をうまく実現しています。Assistと呼ばれるGoogleCloudのリューションの一部です。これは、コストやパフォーマンス、セキュリティなどクラウド最適化をするためのツールになっています。うまく使うことで、クラウドの管理に時間をさかず、より重要なビジネスに時間をさけるようになります。