Insightwatchを利用してえっ私のAWSアカウントやばすぎ...?をチェックしよう

俺です。

[クラスメソッド](https://classmethod.jp/)さんが提供している、私のAWSアカウントやばすぎ..?をチェックしてくれるサービス[Insightwatch](https://insightwatch.io)が気になってたので使ってみました。

# アカウント登録

- サインアップを終わらせて会社情報を設定します。

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/4051310b-51d1-fee8-69f8-c39bd07b6777.png)

- ホーム画面

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/a7ed400f-5215-3787-cdb6-21f8ea953da1.png)

# 組織の登録

- メニューの組織一覧をクリックします

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/b2d9a65b-2277-2aa4-6b95-11dccd7f70c3.png)

- 組織一覧の右に表示されている[+]をクリックします
- かっこいい組織名を登録します

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/a11e8079-cfd9-bbe7-69a3-dfbf132e1bf8.png)

# 組織へプロジェクトの割当

- 作成した組織の中にプロジェクトを作成します

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/ca71bb5e-59c0-9426-2418-9c62fea2df43.png)

- かっこいいプロジェクトコードを設定します

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/56e8dc32-5f51-34f4-9248-e9c40f97451d.png)

- プロジェクトにAWSアカウントを連携させます
- IAM Roleを作成ボタンをクリックします

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/4d6b1be5-ce0b-a499-4903-bf8bd72068b2.png)

- ウチの会社IAM Userじゃなくて[Ping Identity](https://www.pingidentity.com/en.html)社の提供しているPingFederate使ってたからログインできねーわ

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/5c08aed9-d589-b103-1d7e-71635cc0f428.png)

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/f5786c63-30e3-2dd6-4c88-8c9b943d7e0d.png)


# PingFederateな俺向け

ということで別タブでターゲットAWSアカウントへのセッションはります

- PingFederateログイン

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/0a91bf18-a555-fd0f-b9af-f14f1d0c61a7.png)

<img width="375" alt="image.png" src="https://qiita-image-store.s3.amazonaws.com/0/42755/9ea66c2d-19bb-a7ab-0327-e0b6683aa0bd.png">

<img width="375" alt="image.png" src="https://qiita-image-store.s3.amazonaws.com/0/42755/2f6507c4-6798-547d-0751-8779cf5bc759.png">

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/9aabc63a-ac0f-c886-611b-bf62b29fd6d0.png)

# Insightwatchが利用するIAM Roleの作成

IAM Roleを作成のボタンを右クリックしてリンクのアドレスをコピーします

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/5c08aed9-d589-b103-1d7e-71635cc0f428.png)

- AWSへログインセッションを張ったブラウザでURLを貼り付けます
- InsightwatchとクロスアカウントアクセスをおこなうIAM Roleを作成します

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/f9274acf-a973-716f-ef51-5894bcf27bf9.png)

- CloudForrmationの出力に表示されているAccountIDとIAM RoleNameをInsightwatchのAccountIDとIAMRoleNameに貼り付けます

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/378e12ad-1d09-5aa7-9f87-6f5282db77eb.png)

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/0713a3ba-7a6f-cf24-7f88-bccfea05ad9b.png)

- AWSアカウント名を入力して作成ボタンをクリックします

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/23bba77f-2870-7a20-30a4-158b0d7d2791.png)

- Insightwatchからおれのさいきょうのアカウントを登録することができました

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/6e8c05b3-7634-971e-2721-c4eb55ff56ba.png)

# チェック実行してみましょう

チェック実行がクリックできないかなC

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/c30ef6a3-fb0f-01d5-59e2-6411e9ab8fce.png)

と思ったら組織とプロジェクト選択が必要でした

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/4a770ef8-b904-d9fa-2419-af3b2886657a.png)


![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/b4f1411d-75a7-0412-00eb-5d2317385bf9.png)

- 果報は寝て待てまつぜ

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/dcbf5a9c-4a6c-5bce-e852-9f845455e86d.png)

- チェック実行完了後にチェック結果を確認します

PingFederate移行前のIAM User残ってたダサすぎ...

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/3d74f289-32d4-917d-49cd-0dc304e0d163.png)

このツールで指摘される重要項目は、予めCFn StackSetsで潰せるようにしておくとよさそうですね。
超弊社的な話だとPingFederate使ってるのでInsightwatchへのログインはSSO対応してほしいところです。

# appendix

## MFAの設定

QR読み取りが仮想MFAアプリケーションと連携します。
自分ところはPingFederate連携できたらありがたいところだけども、とりあえずAuthyを使いました。

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/e8a3a276-72b6-4a33-c261-24c7ae692cd3.png)

バーコードリーダーを使いQRコードをよみとります

![image.png](https://qiita-image-store.s3.amazonaws.com/0/42755/399cab2c-5c08-6632-b038-dc4b13031c8b.png)


完