EverCはセキュアなJITアクセスへの移行で効率を向上

課題：機密性の高い顧客データへの安全なアクセスを効率的にプロビジョニング

EverCの顧客は、機密性の高いeコマースデータをSaaSプロバイダーである同社に預けているため、顧客のAmazon RDS上のデータベースのセキュリティ確保は、同社にとって最優先事項です。「顧客は自社のセキュリティについて厳しい要求を寄せてきます」と、EverCのIT・セキュリティ部門ディレクターであるGal Bayer氏は述べています。「セキュリティを確保することは、商談の獲得や、顧客に継続して取引してもらうことにつながります。」急速に拡大するプラットフォームチームに適切な権限セットを付与し、機密性の高い20の異なるデータベースへのアクセスをプロビジョニングする作業は、手作業では非常に非効率でした。同氏は、適切なアクセス権のプロビジョニングを効率化し、リスクを軽減するために1Passwordを利用しました。

ソリューション：バンドルによる容易な導入と定着

EverCのクラウドインフラ責任者であるTomer Cohen氏は、JITアクセスプロビジョニングソリューションを選ぶ際、1Passwordを選んだ決め手となった要因として、次の点を挙げています。

• Amazon RDSのMySQLデータベースとの統合の容易さとスピード

• データベース内の権限管理の細かさ

• JumpCloud IDプロバイダー（IdP）に対応

クラウドネイティブなツールである1Passwordは、当社のAWS環境に簡単に統合できました。AWS標準のタグを活用してリソースを自動検出できるプラットフォームの機能により、迅速かつ包括的にセットアップでき、チームはすぐに利用を開始できました。

Tomer Cohen
Head of Cloud Infrastructure at EverC

GalとTomerは、まだローカルのアプリケーションユーザーを利用していたユーザーにRDSで1Password Privileged Accessを展開し、ユーザーとの信頼関係を築きました。 ローカルアクセスを取り消す前に、ユーザーがJITに慣れ、最初のリクエストを送れるよう時間を設けました。生産性を損なうことなく、ユーザーの賛同を得られました。 この導入の成功を基盤に、開発環境でのJIT導入を迅速に拡大し、最も機密性の高いデータが保存されている最重要リソースにも適用しました。

「Access Flowsは動的でしたが、BIチームから興味深い課題を持ちかけられました」とBayer氏は語り、相当数のデータベースにわたってスクリプトを実行するには、より広範なアクセス権が必要だったと説明しています。

「ここで見つけた解決策は、単一のリクエストで複数のリソースへのアクセスを許可するバンドルを作成できる機能です」とBayer氏。これは、複数のリソースからのポリシーを組み合わせたアクセスフローの統合グループ化を指しており、アクセスフローの管理者管理を簡素化します。これにより、リソースごとに個別にリクエストする時間を節約でき、必要なものすべてに一度にアクセスできるようになります。

ただし、読み取り/書き込みアクセスなど、より機密性の高い権限については、直属のマネージャーの承認を必要とするAccess Flowポリシーを作成しました。

「管理者権限をリクエストした場合、手動のAccess Flowを適用し、直属の上司とプロダクションマネージャーの2人の承認を必要とする仕組みを導入しました」とBayer氏は述べ、ユーザーがデータベースの管理者アクセス権を持っていると、そのユーザーは自分の業務とは関係のない別のジョブを誤って、あるいは意図的に停止してしまう可能性があると説明しています。「ここで起こりうる被害は甚大です。しかし、自分のマネージャーだけでなく、プロダクションマネージャーも確実に把握しているようにすることで、私たちは多くの惨事を未然に防ぐことができました。」

成果：セキュアでシームレスなアクセスにより、すべての人々の時間を節約

Cohen氏によると、1Password Privileged Accessに移行したことで、データベースの入社・異動・退職ライフサイクルにおけるアクセス管理にかかる時間を、チームでは週に少なくとも10時間削減できました。EverCのエンドユーザーも、リソースの多くで承認を自動化した1Password Privileged AccessのAccess Flowsを活用し、安全に24時間いつでもアクセスできるようになりました。「1Password Privileged Accessのおかげで、ユーザーに余計な手間をかけることなく、セキュリティを強化しながらプロセスを一元化し、最適化できました」とBayer氏は述べています。1Password Privileged Accessを通じてすべてのアクセス管理を一元化することでチームが得られるもう1つのメリットは、すべてのアクセスリクエストと利用状況が綿密に監査されることです。これにより、コンプライアンスチームへの報告が簡素化され、ISO 27001、SOC IIなどの規制や顧客に関する監査も効率化されます。

開発チームの視点から見るとユーザー体験は大幅に向上しており、私にとってもコンプライアンスの徹底がずっと容易になりました。

Tomer Cohen
Head of Cloud Infrastructure at EverC

次のステップ

最重要リソースへのアクセスを適切に保護できたことを受け、Bayer氏は「次のステップは、Kubernetesクラスターにも同じレベルの厳格さを適用し、そこでのすべてのアクセスを適切な範囲内に収め、管理下に置くことです」と述べています。