脅威へ、しなやかかつ持続可能に対応するためのIaC環境～循環型IaC～（CloudNative Security Conference 2022 プレイベント発表資料）

© 2022 NTT DATA Corporation
脅威へ、しなやかかつ持続可能に対応するためのIaC環境
〜循環型IaC〜
2022.7.12
NTT DATA Corporation
Hiroaki Hattori

© 2022 NTT DATA Corporation 2
自己紹介 - profile -
名前
服部洋明 - Hiroaki Hattori -
会社
株式会社NTTデータ - NTT DATA Corporation -
肩書
インフラエンジニア
趣味
サウナ、ゴルフ
その他
金融機関向けシステムを中心とし、LinuxやWindowsServerなどサーバサイドの開発を経験。近年で
は、AWSとDevopsに興味があり、CI/CDや基盤自動化に関する新たな手法を検討している。

導入

セッションテーマについて
脅威へ、しなやかかつ持続可能に対応するためのIaC環境〜循環型IaC〜

①脅威ってなんなのか
②しなやかかつ持続可能に対応するとはなんなのか
③循環型IaCとは

本日のお話について
脅威、大事なこと、対応策など、色々ある考えの1つです。
なお、メインとなる循環型IaC絡みはAWSを題材にしています。
IaCってなんだっけって人
ターゲット
IaC使っているけど、
インシデントへの対応に
面倒くささを感じている人
お話すること
IaCについて
IaCでインシデントの対応を早くす
るための方法1案
IaCでNTTデータのあるプロジェク
トが陥ったこと
お話しないこと
アプリケーション部分の脆弱性
ツールそのものの細かな紹介
具体的なソースコード

脅威って何なのか？

まずはクラウドを利用する上での自分たちの責任を理解する
AWS 責任共有モデル
https://aws.amazon.com/jp/compliance/shared-responsibility-model/

自分たちの設定ミスのこと。
PR Times - Levetty株式会社
https://prtimes.jp/main/html/rd/p/000000014.000056572.html
設定ミスをしても
早く対応をしたい！！

しなやかにかつ持続可能に対応するって何なのか？

DevSecOpsのサイクルから見てみる
AWS Summit
https://d1.awsstatic.com/events/jp/2018/summit/tokyo/partner/15-2.pdf

DevSecOpsのサイクルに各セキュリティアクティビティが割当たっている
AWS Summit
始
終

コーディングからデプロイまでの自動化にCI/CDが適用される。
AWS Summit
始
終
自動化

インシデントの発見からコーディングまでを急いで、対処までのサイクルにしなやかに対応すること
AWS Summit
始
終
自動化
自動化

IaC環境

IaC環境
IaC(infrastructure as Code)とは、手動のプロセスではなく、コードを使用してインフラストラクチャの管理
とプロビジョニングを行うこと
Red Hat 「IaCとは」https://www.redhat.com/ja/topics/automation/what-is-infrastructure-as-code-iac
Amazon VPC
Public Subnet
Private Subnet
プロビジョニング

IaC環境
メリット・デメリット
コスト削減
品質向上
習得コスト
簡単な設定でも
時間がかかる場合がある
メリットデメリット

IaC環境
IaCによるプロビジョニングと、マネジメントコンソールによるいわば手動作成がある
IaC
Amazon VPC
Public Subnet
Private Subnet
手動作成(GUI)

IaC環境
リソースの設定把握
IaC 手動作成(GUI)
種類別で参照する必要がある
コードを見れば全体が一発
Route53 VPC EC2

IaC環境
似たリソースの複製
いくら似ていても一つ一つ作成
コピペで作成できる
EC2_1 EC2_2 EC2_3

IaC環境
リソースの作成・設定追加
Amazon VPC
Public Subnet
Private Subnet
Amazon VPC
Public Subnet
Private Subnet
適用
コード化に時間がかかる GUIで比較的簡単に作れる

IaC環境
IaCと手動作成(GUI)の比較まとめ
設定値把握
複製
作成・設定追加

IaC環境
IaCと手動作成(GUI)
設定値把握
複製
作成・設定追加
対応早くと言われても、コード化しなきゃいけなく
て。。。

NTTデータのあるシステムが陥ったこと
インシデントレスポンスの事例
溜まったノウハウ
手順書
15年続くシステム
システム更改によって
導入したIaC

手順書
IaC管理
導入したIaC

手順書
IaC管理
導入したIaC
！インシデント！
コミュニティA
コミュニティB
コミュニティC

手順書
IaC管理
導入したIaC
コミュニティA
コミュニティB
コミュニティC
このままいくと

手順書 15年続くシステム
コミュニティA
コミュニティB
コミュニティC
IaCで作れるけど、作った後に対応できる状況になっていない

循環型IaC

循環型IaC
IaCを循環型にして脆弱性への対応を早める
Amazon VPC
Public Subnet
Private Subnet
Amazon VPC
Public Subnet
Private Subnet
適用

循環型IaC
IaCを循環型にして脆弱性への対応を早める
Amazon VPC
Public Subnet
Private Subnet
Amazon VPC
Public Subnet
Private Subnet
適用
循環型IaCの仕組み
IaCに取り込み
手順が速い時は
手順で！
プロビジョニングが速い時は
プロビジョニングで！

循環型IaC
リソースからIaCを新規作成するときはTerraformerを利用する。
※Github「Terraformer」 https://github.com/GoogleCloudPlatform/terraformer
Internet GW
適用
NAT GW
循環型IaCの仕組み
Terraformer
リソース識別子
mapping(json)
IaCコード
タグ
既存リソースにはないことを確認
ARN
aws̲nat̲gateway natgateway

循環型IaC
保守フェーズでも持続して常にIaCのメリットを維持して、IaCと手動作成の好きな方でコード化と適用までし
なやかに行う
AWS Summit
始
終
自動化
自動化

まとめ
⇨設定ミス
⇨インシデント発見からコード作成を自動化すること
⇨手動作成とIaC両面でリソースを循環させること

記載されている会社名、商品名、またはサービス名は、各社の商標登録または商標です。

脅威へ、しなやかかつ持続可能に対応するためのIaC環境～循環型IaC～（CloudNative Security Conference 2022 プレイベント発表資料）

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Ähnlich wie 脅威へ、しなやかかつ持続可能に対応するためのIaC環境～循環型IaC～（CloudNative Security Conference 2022 プレイベント発表資料）

Ähnlich wie 脅威へ、しなやかかつ持続可能に対応するためのIaC環境～循環型IaC～（CloudNative Security Conference 2022 プレイベント発表資料） (20)

Mehr von NTT DATA Technology & Innovation

Mehr von NTT DATA Technology & Innovation (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (10)