F5 meetup terraform & vault
- 1. F5 / NGINX community DevSecOpsに貢献するTerraform+Vaultの紹介 伊藤仁智 HashiCorp, Sr. Solution Engineer Copyright © 2020 HashiCorp
- 2. 伊藤仁智（Masa Ito） Sr. Solutions Engineer at HashiCorp masa@hashicorp.com
- 3. Copyright © 2018 HashiCorp Company overview 3 ミッション キー製品 設立 2012 by Mitchell Hashimoto and Armon Dadgar （HashiCorp Japanは2018年9月発足） Unlocking Cloud Operating Model. CEO Dave MacJannet
- 4. ハイブリッドなインフラへのシフト Traditional Datacenter “Static” Modern Datacenter “Dynamic” Dedicated Infrastructure Private Cloud 専用マシン → オンデマンド AWS Azure GCP ...+ + +
- 5. © 2018 HashiCorpTERRAFORM PRINCIPLE 5 Terraform: Infrastructure as Code ● インフラの「望むべき姿」をコード化 ● Terraformが「望むべき姿」を構築 ● ２００を超えるProvider ● 「誰」が「いつ」実行しようと「望むべき姿」が構築される ● ヒューマンエラーを防ぐ ● Policy as Codeでコンプライアンスやガバナンスを強化 ● GitOpsでコードを中心にチームコラボレーション
- 7. Application Deliveryのライフサイクル 新しいアプリケーショ ンを開発 APP DEVELOPER チケットベースでサー バー申請 SERVER ADMIN アプリケーションへの FQDNを作成 NETWORK ADMIN IPアドレスのアサイン アプリケーションを ロードバランサーへ登 録 ポートの設定 ヘルスチェック 運用&監視 OPERATOR
- 8. Application Deliveryのライフサイクル 新しいアプリケーショ ンを開発 APP DEVELOPER チケットベースでサー バー申請 SERVER ADMIN アプリケーションへの FQDNを作成 NETWORK ADMIN IPアドレスのアサイン アプリケーションを ロードバランサーへ登 録 ポートの設定 ヘルスチェック 運用&監視 OPERATOR とある会社によると 22週・・・
- 9. Application Deliveryのライフサイクル 新しいアプリケーショ ンを開発 APP DEVELOPER チケットベースでサー バー申請 SERVER ADMIN アプリケーションへの FQDNを作成 NETWORK ADMIN IPアドレスのアサイン アプリケーションを ロードバランサーへ登 録 ポートの設定 ヘルスチェック 運用&監視 OPERATOR とある会社によると 22週・・・
- 10. 新しいApplication Delivery 新しいアプリケーショ ンを開発 APP DEVELOPER サーバーやネットワー クの構築は Terraform でプロビジョニング SERVER ADMIN NETWORK ADMIN Terraformコードその ものがリファレンス ロードバランサーも Terraformで設定 OPERATOR コード化しチーム間で共有
- 11. 新しいApplication Delivery 新しいアプリケーショ ンを開発 APP DEVELOPER サーバーやネットワー クの構築は Terraform でプロビジョニング SERVER ADMIN NETWORK ADMIN Terraformコードその ものがリファレンス ロードバランサーも Terraformで設定 OPERATOR 自動化によりスケーラビリティを大幅に向上 Provisioning
- 12. クラウドセキュリティ Traditional Datacenter “Static” Modern Datacenter “Dynamic” Dedicated Infrastructure Private Cloud AWS Azure GCP ...+ + +
- 13. クラウドセキュリティ Traditional Datacenter “Static” Modern Datacenter “Dynamic” Dedicated Infrastructure Private Cloud AWS Azure GCP ...+ + + High Trust IP-based → Low Trust Identity-based
- 14. APP DEVELOPER SERVER ADMIN NETWORK ADMIN OPERATOR PKIAPI IdentityやRoleによって様々なシステムと連携
- 15. APP DEVELOPER SERVER ADMIN NETWORK ADMIN OPERATOR PKIAPI ApplicationもインフラもSecretが必要
- 16. APP DEVELOPER SERVER ADMIN NETWORK ADMIN OPERATOR PKIAPI ApplicationもインフラもSecretが必要 これらのSecretを ● どこで管理しますか？ ● どうやってアクセスさせますか？ ● 暗号化していますか？ ● 漏れたときどうしますか？
- 17. Copyright © 2018 HashiCorp じゃあどうするか？ 17 1. Secretの中央管理（Centralization) 2. 暗号化（Encryption） 3. 認証（Authentication) 4. 認可（Authorization) 5. 鍵交換（Rotation）
- 18. Copyright © 2018 HashiCorp じゃあどうするか？ 18 1. Secretの中央管理（Centralization) 2. 暗号化（Encryption） 3. 認証（Authentication) 4. 認可（Authorization) 5. 鍵交換（Rotation） これ全部Vaultで出来ます
- 19. Copyright © 2018 HashiCorp 19 信頼できるアイデンティティに対して、安全にシークレットを提供する 認証 アイデンティティによるアクセス シークレットエンジン ポリシーに基づいたシークレット管理 クライアント
- 20. Copyright © 2018 HashiCorp 20 信頼できる認証基盤との連携 信頼できる認証基盤で認証 Authentication 認証 アイデンティティによるアクセス シークレットエンジン ポリシーに基づいたシークレット管理 クライアント
- 21. Copyright © 2018 HashiCorp 21 Tokenの取得 認証 アイデンティティによるアクセス シークレットエンジン ポリシーに基づいたシークレット管理 クライアント Token ポリシー • シークレットエンジンへのアクセス • APIエンドポイントへのアクセス アプリやシステムへのアクセスを認可 Authorization 信頼できる認証基盤で認証 Authentication
- 22. Copyright © 2018 HashiCorp 22 シークレットのリクエスト 認証 アイデンティティによるアクセス シークレットエンジン ポリシーに基づいたシークレット管理 クライアント Token アプリやシステムへのアクセスを認可 Authorization ポリシー • シークレットエンジンへのアクセス • APIエンドポイントへのアクセス 信頼できる認証基盤で認証 Authentication
- 23. Copyright © 2018 HashiCorp 23 シークレットの取得 認証 アイデンティティによるアクセス シークレットエンジン ポリシーに基づいたシークレット管理 クライアント Token アプリやシステムへのアクセスを認可 Authorization サービスの提供 ▪ 静的シークレット ▪ 動的シークレット ▪ 証明書 ▪ 暗号化サービス シークレット ポリシー • シークレットエンジンへのアクセス • APIエンドポイントへのアクセス 信頼できる認証基盤で認証 Authentication
- 24. APP DEVELOPER SERVER ADMIN NETWORK ADMIN OPERATOR PKIAPI SecurityチームによるSecretの中央管理 認証 認可 SECURITY OPS
- 25. APP DEVELOPER SERVER ADMIN NETWORK ADMIN OPERATOR PKIAPI まとめ SECURITY OPS プロビジョニングのワークフローを統一 シークレット管理のワークフローを統一
- 26. APP DEVELOPER SERVER ADMIN NETWORK ADMIN OPERATOR PKIAPI まとめ SECURITY OPS プロビジョニングのワークフローを統一 シークレット管理のワークフローを統一 DevSecOpsの成功