AWS IAM関連の履歴(No.8)

→認証技術

→Amazon Web Service

→AWS その他のサービス

→SSO関連 ←AWS SSO/IAM Identity Center についてはこちら

一般
用語
IAMロール
IAMユーザ管理
IAMポリシー
フェデレーション
MFA

一般†

IAM セキュリティの設定ミスの悪用とその検出方法 | コンテナ・セキュリティ | Sysdigブログ | コンテナ・Kubernetes環境向けセキュリティ・モニタリングプラットフォーム 2022.12

IAM Identity Centerの所属するユーザー名とグループ名のリストをシェルスクリプトで抽出してみた | DevelopersIO 2022.9

同じ名前のIAMプリンシパルを区別する方法 | DevelopersIO 2022.9
- IAMプリンシパル名を同じにした場合、ARNは同じになりますが、ユニークIDは異なります。
- プリンシパルごとに区別したい場合はユニークIDを利用しましょう！

AWSのマルチアカウント戦略が難しい！ | DevelopersIO 2022.7

最小権限実現への4ステップアプローチ前編 | Amazon Web Services ブログ 2021
- 最小権限実現への4ステップアプローチ後編 | Amazon Web Services ブログ 2021

AWS IAM のコントロールプレーンはバージニア北部リージョンにのみ存在しその設定内容は各リージョンのデータプレーンに伝播される | DevelopersIO 2022.6

AWS IAM で障害が起こったらどうなるの？ AWS IAM のレジリエンス（復元力）に関する記述がドキュメントに追記されていた | DevelopersIO 2022.6

AWS再入門ブログリレー2022 AWS IAM編 | DevelopersIO 2022.3

IAMは認証だけでなくリソースの権限管理の機能も併せ持つ

↑

用語†

AWS IAM の概念をざっくり理解する - サーバーワークスエンジニアブログ 2022.4

AWS アクセスキーとは？AWS アクセスキーの作り方や使い方を紹介！ | FEnet AWSコラム 2021.1

API KEY（プログラムからAWS各種サービスを操作できる
- Amazon API GatewayでAPIキー認証を設定する 2015

MFA…多要素認証
ARN…AWS上のリソースを一意に特定するID

プリンシパル…認証してエンティティを使う主体のこと。以下のいずれか
- 人（ユーザ、もしくはフェデレーテッドユーザ）
- アプリケーション

IAMの管理単位
- IAMグループ…フラットな階層でしか管理できず、階層構造は持てない
- IAMユーザ
- IAMロール…EC2上で実行されるプログラムに実行権限を割り当てるのに使う、API KEYが要らなくなる

AWS初心者にIAM Policy/User/Roleについてざっくり説明する | DevelopersIO 2020.1

   IAM Policyは できること/できないこと を定義し、UserやRoleに紐づけて使う
   IAM Userは、Policyを紐付けて、ユーザーができることを定義する
   IAM Roleは、Policyを紐付けて、誰か/AWSのサービス ができることを定義する

プリンシパルエンティティ…プリンシパルがポリシーを付与する対象となるエンティティのことか？
- IAMユーザ
- IAMグループ
- IAMロール

IAMエンティティ…プリンシパルエンティティと一部被っている？
- IAMユーザ
- IAMロール

AWS IAMリソースパスのススメ | DevelopersIO 2022.5
- 階層構造を作る場合は取得したい単位を考える
- 後からパスの設定は不可能

AWS STS: Welcome to the AWS Security Token Service API Reference - AWS Security Token Service
- AWS provides AWS Security Token Service (AWS STS) as a web service that enables you to request temporary, limited-privilege credentials for AWS Identity and Access Management (IAM) users or for users you authenticate (federated users).
- AWS STSとはIAMユーザを持っていないユーザやアプリに対して一時的に利用できるアクセスキーを付与する機能

↑

IAMロール†

IAM Roles AnywhereをAWS Private CAと連携させ、AWS外から一時クレデンシャルを取得してみた | DevelopersIO 2023.1

AWSマネジメントコンソールのスイッチロール履歴を使いたくないので自動削除設定をしてみた | DevelopersIO 2023.1

同名のIAMユーザーを再作成した場合はスイッチロール先IAMロールの信頼ポリシー更新が必要 | DevelopersIO 2022.6

IAMロールを削除する際にはインスタンスプロファイルに注意 | DevelopersIO 2022.6
[小ネタ] EC2用にIAMロールを作ったのに、EC2へ割り当てられない！ | DevelopersIO 2022.5
帽子をかぶって、スイッチロールをマスターしよう - サーバーワークスエンジニアブログ 2022.4
IAMのスイッチロールを理解したい | DevelopersIO 2020.2
- 複数のアカウントで作業する際にアカウントの切り替えを楽にする機能

【小ネタ】GitHub Actions用のIAMロールをAWSマネジメントコンソールから作成する際の注意点 | DevelopersIO 2021.11

↑

IAMユーザ管理†

IAMユーザーのパス設定を変更してみる | DevelopersIO 2022.8

あれ？ログインして使っているIAMユーザー自身とかIAMロールって削除できるんだっけ？を実際にやってみた | DevelopersIO 2022.8

AWS アカウント・ユーザ設計について - Qiita 2019

IAM ユーザーのパスワードの管理 - AWS Identity and Access Management
- AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。
- ナビゲーションペインで [Users] (ユーザー) を選択します。
- パスワードを変更するユーザーの名前を選択します。
- [認証情報] タブを選択してから、[サインイン認証情報] で [Console password (コンソールパスワード)] の横の [パスワードの管理] を選択します。
- [Manage console access (コンソールアクセスの管理)] の [Console access (コンソールアクセス)] で、[Enable (有効化)] を選択します (まだ選択していない場合)。コンソールアクセスが無効になっている場合、パスワードは不要です。
- [Set password (パスワードの設定)] で、IAM によってパスワードを自動的に生成するか、カスタムパスワードを作成するかを選択します。
- ユーザーに初回サインイン時に新しいパスワードの作成を求めるには、[Require password reset (パスワードのリセットが必要)] を選択します。次に、[Apply (適用)] を選択します。重要
- [Require password reset (パスワードのリセットが必要)] オプションを選択した場合は、ユーザーが自分のパスワードを変更するアクセス許可を持っていることを確認します。詳細については、「IAM ユーザーに自分のパスワードを変更する権限を付与する」を参照してください。

[AWS]IAMで作業用ユーザーを作成 2020

IAMユーザガイド

IAM ユーザーの作成手順 - サーバーワークスエンジニアブログ 2022.1

マルチアカウントな AWS環境のマネジメントコンソールへのアクセス方法をまとめてみた | DevelopersIO 2021.11
- 全て IAMユーザー
- IAMユーザーからスイッチロール
- SSO(SAML)
- AWS SSO

↑

IAMポリシー†

メモ(2023.1)
- １つのIAMグループに対して管理ポリシーやインラインポリシーはそれぞれ最大10までしか付与できない。
- 10以上の管理ポリシーを付与したい場合は、複数のIAMグループを作り、それらのグループにポリシーを分散して付与した上で、ユーザを両方のグループに所属させるとよい。
- このような使い方を踏まえ、IAMグループは単なる「ユーザの組織単位での集まり」としてよりも付与するポリシーの分類を意識したグルーピングにした方が良さそう。

管理者権限を与えつつIAMユーザーまわりの操作だけ禁止するIAMポリシー | DevelopersIO 2021

リソースベースポリシーの Principal に存在しないプリンシパルを指定すると Invalid principal in policy などのエラーが発生する | DevelopersIO 2022.12

IAM ユーザーが所属している IAM グループとアタッチされている IAM ポリシーの一覧を AWS CLI で取得する | DevelopersIO 2022.11

【更新】AWSにおけるアクセスポリシーの評価ロジック - サーバーワークスエンジニアブログ 2022.6

誤って削除したIAM PolicyをAWS Configを使って復元してみた | DevelopersIO 2022.3

ポリシータイプ…参照：IAM でのポリシーとアクセス許可 - AWS Identity and Access Management 2022.4
- アイデンティティベースのポリシー…ユーザーやロールなどのアイデンティティにアタッチするポリシー。管理ポリシーとインラインポリシーがある。
- リソースベースのポリシー…インラインポリシーをリソースにアタッチするポリシー。
- セッションポリシー…AWS CLI または AWS API を使用してロールまたはフェデレーティッドユーザーを引き受ける場合に使うポリシー
- アクセス許可の境界…アイデンティティベースのポリシーが IAM エンティティに付与できるアクセス許可の上限
- サービスコントロールポリシー(SCP)…組織または組織単位 (OU) のメンバーアカウントのアクセス許可の上限
- アクセスコントロールリスト(ACL)…ACL がアタッチされているリソースにアクセスすることができる他のアカウントのプリンシパルを制御。クロスアカウントのアクセス許可
- ※分類軸がぐちゃぐちゃでわかりづらいが、本当にポリシーのタイプという感じなのは最初の３つで、あとの３つは上限値と他アカの制御

今日のハンズオンで出てきた、アクセス制御境界(Permission Boundary)とインラインポリシーの関係について整理してみました 2022.5
- 縦方向はAND、横方向はORの関係にあるので、アクセス制御境界とインラインポリシーの両方で明示的な許可がないと拒否されます。

IAMポリシーは何を対象にアタッチするポリシーかで２つに分かれる
- アイデンティティベースポリシー…ユーザ／グループ／ロールにアタッチするポリシー
- リソースベースポリシー…リソースとは主にAWSの個々のサービス(例えばS3)を指す
  - S3のアクセスコントロールまとめ - Qiita 2014

アイデンティティベースポリシーはスタンドアロンかどうかで別れ、さらにスタンドアロンポリシーは管理主体によって２つに分かれる
- スタンドアロンポリシー(管理ポリシー）
  - AWS管理ポリシー
  - カスタマー管理ポリシー
- インラインポリシー
- 管理ポリシーとインラインポリシー - AWS Identity and Access Management 2022.4
- [AWS]管理ポリシーとインラインポリシーの違いが分からなかったので改めてIAMポリシーのお勉強をする - Qiita 2017

リソースベースポリシーはインラインポリシーしかない
リソースベースのポリシーとして最も一般的な例
- Amazon S3 バケットポリシー
- IAM ロールの信頼ポリシー
  - 信頼ポリシーにおいてスイッチロールできるIAMユーザーを複数指定する方法 | DevelopersIO 2022.6

JSON ポリシー 2022.4
- Version – 使用するポリシー言語のバージョン。2012-10-17
- Statement – このポリシーのメイン要素であり、以下の要素のコンテナになります。ポリシーには、複数のステートメントを含めることができます。
- Sid (オプション) – 複数のステートメントを区別するための任意のステートメント ID が含まれます。
- Effect – Allow / Deny
- Principal (一部の状況でのみ必須)
  - リソースベースのポリシーを作成する場合は、アクセスを許可または拒否するアカウント、ユーザー、ロール、またはフェデレーティッドユーザーを指定する必要があります。
  - ユーザーまたはロールにアタッチする IAM アクセス許可ポリシーを作成する場合は、この要素を含めることはできません。プリンシパルは、そのユーザーまたはロールを暗黙に示しています。
- Action – ポリシーで許可または拒否するアクションのリストが含まれます。(Resource 一部の状況でのみ必須)
  - IAM アクセス許可ポリシーを作成する場合は、アクションが適用されるリソースのリストを指定する必要があります。
  - リソースベースのポリシーを作成する場合は、この要素はオプションです。この要素を含めない場合、アクションが適用されるリソースは、ポリシーがアタッチされているリソースです。
- Condition (オプション) ポリシーでアクセス許可を付与する状況を指定します。

↑

フェデレーション†

IDフェデレーション…使用頻度の低いユーザにアカウントを与えるのではなく一時的な認証を与え、短時間のみサービスへのアクセスを許す仕組み
AWS Security Token Service (STS) と AWS フェデレーションは、どちらも一時的な権限付与の仕組みですが、使用用途や方法が異なる。
STSは、AWSアカウントの代理人として操作を行うために使用されます。STSを使用すると、一時的なセキュリティトークンを取得して、アクセスキー、シークレットアクセスキー、セッショントークンを使用してAWSサービスにアクセスすることができる。
AWS フェデレーションは、組織内のユーザーやシステムからAWSにアクセスするために使用する。
AWS フェデレーションを使用すると、組織内の認証システムとAWSアカウントを連携させることができ、組織内のユーザーやシステムがAWSサービスにアクセスするために必要なアクセスキーやシークレットアクセスキーを取得することができる。

ID プロバイダーとフェデレーション
- すでにユーザー ID を AWS の外で管理している場合、AWS アカウントに IAM ユーザーを作成する代わりに、IAM ID プロバイダーを利用できます。
- ID プロバイダー (IdP) を使用すると、AWS の外部のユーザー ID を管理して、これらの外部ユーザー ID にアカウント内の AWS リソースに対するアクセス許可を与えることができます。これは、会社に既に企業ユーザーディレクトリなどの独自の ID システムがある場合に便利です。
- また、AWS リソースへのアクセスが必要なモバイルアプリやウェブアプリケーションを作成する場合にも便利です。

フェデレーション（英：federation）とは、一度認証を通ればその認証情報を使って許可されているすべてのサービスを使えるようにする仕組み
- 参考：https://wa3.i-3-i.info/word12731.html
- 「一度認証すればOKだよ！」を意味する言葉が「シングルサインオン(SSO)」で、シングルサインオンを実際に行うための手法のひとつとして「フェデレーション」がある

↑

MFA†

AWS CLI で MFA を有効化してみた - Qiita 2022.12

IAMユーザに2つ目のMFAデバイスを登録してみる - サーバーワークスエンジニアブログ 2022.11

AWS MFAの設定 - Qiita 2015

AWS での多要素認証 (MFA) の使用 - AWS Identity and Access Management

簡単に言うと、スマホなどにOTPツールを入れてそのパスワードを入れるような仕組みにする

AWS IAM関連 の履歴(No.8)

一般†

用語†

IAMロール†

IAMユーザ管理†

IAMポリシー†

フェデレーション†

MFA†