AWS Systems Manager Change Managerで PIMライクな権限昇格の仕組みを構築した話 【ゆるSRE勉強会 #10 】 

こんにちは！今回のイベントレポートを担当するのはSREの是永（@s_korenaga）です。

4/4(金)に開催されました「ゆるSRE勉強会 #10」に登壇させていただきました！

"ゆるSRE勉強会"は、ゆるい雰囲気で肩肘張らずにSRE関連のトピックについて話す勉強会です。
「こんな問題を解決した！」や「他チームとのコミュニケーション/コラボレーションでこんなことをやった！」などなど、様々なお話を聞いたり話したりしていきましょう。

AWS Systems Manager Change Managerで PIMライクな権限昇格の仕組みを構築した話

今回は「ゆるSRE勉強会」にて、AWS Systems Manager Change Managerを活用してPIM（Privileged Identity Management）ライクな権限昇格の仕組みについてお話しさせていただきました。

（１）AWS Change Managerについて

AWSリソースの作成や変更には、強い権限が必要です。そのため、普段から強い権限を使いがちですが、不用意・不本意なAWSリソースの変更は避けたいと考えていました。

「普段は低い権限で操作して、必要な時のみ権限を強くする」という運用が理想でしたが、AWS Systems Manager Change Managerを活用すれば、現在のユーザー管理(IIC)のままで承認制で時限的に権限昇格することができました。

まずは、AWS Systems Manager Change Managerについての解説です。

AWS Systems Manager Change Managerは、アプリケーションの設定とインフラストラクチャに対する運用上の変更をリクエスト、承認、実装、および報告するためのエンタープライズ変更管理フレームワークです。

（２）実際の成果・結果

各種設定を終え、申請が承認されるとアクセスポータルで権限付与されていることを確認できました。そして、一定時間後に確認すると権限がなくなっていました。

AWS Systems Manager Change Managerで承認時のみ権限昇格の仕組みを構築ができました。

一方で、課題もいくつか挙がりました！

今回は登壇の一部をご紹介しましたが、資料では具体的なステップや設定を解説しております。ご興味がある方は是非ご覧ください！

まとめ

今回は、AWS Systems Manager Change Managerを使って一時的な権限昇格の仕組みを作成してみました。大まかな仕組みは時間をかけずに構築できたのでみなさんもぜひやってみてください。