AWS IAM関連

→認証技術

→Amazon Web Service

→AWS その他のサービス

→SSO関連 ←AWS SSO/IAM Identity Center についてはこちら

サブトピック†

• AWS IAM用語整理
• AWS IAMポリシー
• Amazon Cognito関連

一般†

• IAM での権限管理プロジェクト単位でやってませんか？ 2024.11

• AWS IAM再入門 #Security - Qiita 2024.11

• AWSで”最小権限の原則”を実現するための考え方 /20240722-ssmjp-aws-least-privilege - Speaker Deck 2024.7

• [速報] IAMのMFA(多要素認証)でPasskeyが利用できるようになりました #AWSreInforce | DevelopersIO 2024.6

• ガバメントクラウドAWSでの「開発・運用IAMロール」の権限制御を考える - サーバーワークスエンジニアブログ 2024.6

• 【2024年】AWSアカウントの rootユーザーでしかできないことをまとめてみた | DevelopersIO 2024.5
  • ここでいうrootユーザとは、AWSに契約したときに最初に付与されるアカウントのこと。
  • rootユーザーでしかできない主な操作は以下の通り
    • アカウント情報の変更(名前、メールアドレス、パスワード等)
    • IAMユーザーの管理者権限の復元
    • アカウントの解約
    • 請求情報の参照、サポートプランの変更
    • 支払いオプション(クレジットカード情報)の変更・削除
    • AWS GovCloud(US)アカウントの作成
    • EC2 リザーブドインスタンスの売却
    • S3 バケットのMFA削除保護の有効化、バケットポリシーの編集・削除
    • SQS リソースポリシーの編集・削除

• AWS公式トレーニング時に利用する 『AWSビルダーID』の作成手順 - サーバーワークスエンジニアブログ 2023.10

• IAMグループとIAMユーザー設定を視覚化するスクリプトを作ってみた - サーバーワークスエンジニアブログ 2023.10

• AWSとAzureのID管理の違い【AWS技術者のためのAzure入門 第１回】 | エディフィストの実務に活かせるIT研修 2023.7

• IAM セキュリティの設定ミスの悪用とその検出方法 | コンテナ・セキュリティ | Sysdigブログ | コンテナ・Kubernetes環境向けセキュリティ・モニタリング プラットフォーム 2022.12

• 同じ名前のIAMプリンシパルを区別する方法 | DevelopersIO 2022.9
  • IAMプリンシパル名を同じにした場合、ARNは同じになりますが、ユニークIDは異なります。
  • プリンシパルごとに区別したい場合はユニークIDを利用しましょう！

• AWSマルチアカウント管理の考え方〜利用規模に応じたAWSアカウント分割編〜 - NRIネットコムBlog 2023.10
• AWSのマルチアカウント戦略が難しい！ | DevelopersIO 2022.7

• 最小権限実現への4ステップアプローチ 前編 | Amazon Web Services ブログ 2021
  • 最小権限実現への4ステップアプローチ 後編 | Amazon Web Services ブログ 2021

• AWS IAM のコントロールプレーンはバージニア北部リージョンにのみ存在しその設定内容は各リージョンのデータプレーンに伝播される | DevelopersIO 2022.6

• AWS IAM で障害が起こったらどうなるの？ AWS IAM のレジリエンス（復元力）に関する記述がドキュメントに追記されていた | DevelopersIO 2022.6

• AWS入門ブログリレー2024〜AWS IAM編〜 | DevelopersIO 2024.4
• AWS再入門ブログリレー2022 AWS IAM編 | DevelopersIO 2022.3

• IAMは認証だけでなくリソースの権限管理の機能も併せ持つ

IAMロール†

• IAM Roles Anywhere の認証方式を理解する - サーバーワークスエンジニアブログ 2023.3

• IAM Roles AnywhereをAWS Private CAと連携させ、AWS外から一時クレデンシャルを取得してみた | DevelopersIO 2023.1

• 人が使う IAM ロール（信頼されたエンティティが AWS サービスでない IAM ロール）だけを棚卸しする | DevelopersIO 2022.12

• IAM Roles Anywhereのハンズオンを通して、OpenSSLとか証明書とかについて勉強できたのでメモ - Qiita 2022.9
• AWS IAMロールAnywhereのPKI基盤にHashicorp Vaultを使う | DevelopersIO 2022.7

• 同名のIAMユーザーを再作成した場合はスイッチロール先IAMロールの信頼ポリシー更新が必要 | DevelopersIO 2022.6

• IAMロールを削除する際にはインスタンスプロファイルに注意 | DevelopersIO 2022.6
• [小ネタ] EC2用にIAMロールを作ったのに、EC2へ割り当てられない！ | DevelopersIO 2022.5

• 【小ネタ】GitHub Actions用のIAMロールをAWSマネジメントコンソールから作成する際の注意点 | DevelopersIO 2021.11

スイッチロール†

• 【小ネタ】AWS Extend Switch Roles にて行うべきと思う設定 | DevelopersIO 2023.10

• AWS Tools for PowerShellでEC2に割り当てたIAMロールからスイッチロールしてみた | DevelopersIO 2023.5

• GitHub Actions から OIDC 経由で AWS の複数アカウントに Switch Role する - Adwaysエンジニアブログ 2023.5

• 【30分AWSハンズオン(2)】IAMロールでスイッチロールをしてみよう - サーバーワークスエンジニアブログ 2023.4
• AWSマネジメントコンソールのスイッチロール履歴を使いたくないので自動削除設定をしてみた | DevelopersIO 2023.1

• 【AWS】スイッチロールを実践してみる - BFT名古屋 TECH BLOG 2022.8
• ロールの切り替え (コンソール) - AWS Identity and Access Management 2023.3

• 帽子をかぶって、スイッチロールをマスターしよう - サーバーワークスエンジニアブログ 2022.4
• IAMのスイッチロールを理解したい | DevelopersIO 2020.2
  • 複数のアカウントで作業する際にアカウントの切り替えを楽にする機能

AssumeRole†

• 同一の IAM ロール内で AssumeRole してきた IAM ユーザーごとに異なる権限を付与する方法について | DevelopersIO 2023.5
• Assumed-role セッションプリンシパルのサービス名前空間を iam にしたが そっと sts に書き換えられた | DevelopersIO 2022.10
• PowerShellでassume-roleを楽にするツールaws-masqueradeを使ってみた | DevelopersIO 2022.6
• IAM ロールの PassRole と AssumeRole をもう二度と忘れないために絵を描いてみた | DevelopersIO 2020.12

IAMユーザ管理†

• IAM ユーザーのログイン失敗を検知して複数回失敗すると権限を剥奪する仕組みを作ってみた | DevelopersIO 2024.5
  • EventBridge

• 「退職した人から管理者アカウント引き継げなかった、どうしよう……」　AWS公式Q＆Aのよくある質問が地獄すぎる - ITmedia NEWS 2023.11

• CLI&コンソール作業用のAWS IAMユーザーを作成する - Qiita 2023.8

• AWS IAMで管理ユーザーを作成する - Qiita 2023.6

• IAM ユーザを削除する際の考慮事項を教えてください | DevelopersIO 2023.3

• IAMユーザーのパス設定を変更してみる | DevelopersIO 2022.8

• あれ？ログインして使っているIAMユーザー自身とかIAMロールって削除できるんだっけ？を実際にやってみた | DevelopersIO 2022.8

• AWS アカウント・ユーザ設計について - Qiita 2019

• IAM ユーザーのパスワードの管理 - AWS Identity and Access Management
  • AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。
  • ナビゲーションペインで [Users] (ユーザー) を選択します。
  • パスワードを変更するユーザーの名前を選択します。
  • [認証情報] タブを選択してから、[サインイン認証情報] で [Console password (コンソールパスワード)] の横の [パスワードの管理] を選択します。
  • [Manage console access (コンソールアクセスの管理)] の [Console access (コンソールアクセス)] で、[Enable (有効化)] を選択します (まだ選択していない場合)。コンソールアクセスが無効になっている場合、パスワードは不要です。
  • [Set password (パスワードの設定)] で、IAM によってパスワードを自動的に生成するか、カスタムパスワードを作成するかを選択します。
  • ユーザーに初回サインイン時に新しいパスワードの作成を求めるには、[Require password reset (パスワードのリセットが必要)] を選択します。次に、[Apply (適用)] を選択します。 重要
  • [Require password reset (パスワードのリセットが必要)] オプションを選択した場合は、ユーザーが自分のパスワードを変更するアクセス許可を持っていることを確認します。詳細については、「IAM ユーザーに自分のパスワードを変更する権限を付与する」を参照してください。

• [AWS]IAMで作業用ユーザーを作成 2020

• IAMユーザガイド

• IAM ユーザーの作成手順 - サーバーワークスエンジニアブログ 2022.1

• AWS IAM Userアクセスキーのローテーションを自動化しました | Money Forward Engineers' Blog 2022.3
• IAM ユーザーのアクセスキーの管理 - AWS Identity and Access Management

• マルチアカウントな AWS環境のマネジメントコンソールへのアクセス方法をまとめてみた | DevelopersIO 2021.11
  • 全て IAMユーザー
  • IAMユーザーからスイッチロール
  • SSO(SAML)
  • AWS SSO

フェデレーション†

• IDフェデレーション…使用頻度の低いユーザにアカウントを与えるのではなく一時的な認証を与え、短時間のみサービスへのアクセスを許す仕組み
• AWS Security Token Service (STS) と AWS フェデレーションは、どちらも一時的な権限付与の仕組みですが、使用用途や方法が異なる。
• STSは、AWSアカウントの代理人として操作を行うために使用されます。STSを使用すると、一時的なセキュリティトークンを取得して、アクセスキー、シークレットアクセスキー、セッショントークンを使用してAWSサービスにアクセスすることができる。
• AWS フェデレーションは、組織内のユーザーやシステムからAWSにアクセスするために使用する。
• AWS フェデレーションを使用すると、組織内の認証システムとAWSアカウントを連携させることができ、組織内のユーザーやシステムがAWSサービスにアクセスするために必要なアクセスキーやシークレットアクセスキーを取得することができる。

• ID プロバイダーとフェデレーション
  • すでにユーザー ID を AWS の外で管理している場合、AWS アカウントに IAM ユーザーを作成する代わりに、IAM ID プロバイダーを利用できます。
  • ID プロバイダー (IdP) を使用すると、AWS の外部のユーザー ID を管理して、これらの外部ユーザー ID にアカウント内の AWS リソースに対するアクセス許可を与えることができます。 これは、会社に既に企業ユーザーディレクトリなどの独自の ID システムがある場合に便利です。
  • また、AWS リソースへのアクセスが必要なモバイルアプリやウェブアプリケーションを作成する場合にも便利です。

• フェデレーション（英：federation）とは、一度認証を通ればその認証情報を使って許可されているすべてのサービスを使えるようにする仕組み
  • 参考：https://wa3.i-3-i.info/word12731.html
  • 「一度認証すればOKだよ！」を意味する言葉が「シングルサインオン(SSO)」で、シングルサインオンを実際に行うための手法のひとつとして「フェデレーション」がある

MFA†

• AWS CLI で MFA を有効化してみた - Qiita 2022.12

• IAMユーザに2つ目のMFAデバイスを登録してみる - サーバーワークスエンジニアブログ 2022.11

• AWS MFAの設定 - Qiita 2015

• AWS での多要素認証 (MFA) の使用 - AWS Identity and Access Management

• 簡単に言うと、スマホなどにOTPツールを入れてそのパスワードを入れるような仕組みにする

最新の50件