DNET_AWSIAM

AWS IAM

• 戻る

概要

• 日常的なタスクを実行するアカウント内のユーザー
• ルートユーザー（アカウント所有者）が作成する。
• ポータルにサインインするには、以下が必要。
  • 次のいずれか
    • アカウントエイリアス。
    • 12 桁の AWS アカウント ID
  • IAM ユーザの
    • ユーザ名
    • パスワード

詳細

基本的な要素

User

• 所謂、User

• UserName + Pathで作成。

• Policyを設定できる。

• 参考

  • AWSのIAMユーザの作成

Group

• Userをまとめる入れモノ的な。
• GroupName + Pathで作成。
• GroupにもPolicyを設定できる。

Role

• 第三者（Trusted Entity）に権限を委譲するためのもの。

  • EC2インスタンスにAPIアクセス権限を委譲できる。
  • その他のAWSサービスにも権限を委譲できる。
  • Azure サービス プリンシパルのようなモノ。

• 下記3つの情報から作成

  • RoleName
  • Path
  • AssumeRolePolicyDocument

• AssumeRole

  • RoleArn（IAM Roleの一意な名前）を入力するとCredentialsを返すAPI

    sts assume-role --role-arn arn:aws:iam::XXXXXXXXXXXX:role/RoleName
    

  • ロールに設定された権限を持ったCredentialsを入手できる。

    • ココでのCredentialsはTokenみたいなものか。
    • 有効期限は1時間の一時キー

• AssumeRolePolicyDocument

  • Principal

    • 第三者（Trusted Entity）を表す。
      第三者には、
      ・任意のIAM ユーザを指定できるが、
      ・AWSのサービス（EC2が代表的）などを指定する事が多い。

  • Condition

    • 必要に応じて「混乱した代理問題」の対策のために追加された追加条件を含める。
    • 追加条件には、外部ID（sts:Externalid）などがあり、
      sts assume-roleする際に、--external-idパラメタとして指定できる。

• RoleにもPolicyを設定できる。

• Roleを使用する例（VHD→AMIに変換）（AWS上に素早く環境を構築するの該当節を参照）

Policy

User, Group, Role に対して、
作成後の後付けで Policy を付与(put)できる。

Path

• 大規模なUser管理を行う場合に、
  Userをディレクトリ分けするような仕組み
• 小規模の場合はデフォルトの/を使うことが多い

Identity Provider

未記載（元 Wiki も見出しのみ）。

参考

• Confused deputy problem - Wikipedia
  https://ja.wikipedia.org/wiki/Confused_deputy_problem

• How to do AssumeRole in Azure – Cloud Invent
  https://cloudinvent.com/blog/how-to-do-assumerole-in-azure/

AWS

• AWS IAM（ユーザーアクセスと暗号化キーの管理）
  https://aws.amazon.com/jp/iam/

Identity and Access Management

• AWS アカウントでの
  IAM ユーザーの作成
  https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_users_create.html
• IAM ユーザーの管理
  https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_users_manage.html

Qiita

• AWSアカウントでのIAMユーザの作成
  https://qiita.com/kzykmyzw/items/ca0c3276dfebb401f7d8

• AWSアカウントを取得したら速攻でやっておくべき初期設定まとめ
  https://qiita.com/tmknom/items/303db2d1d928db720888

Developers.IO

• IAMロール徹底理解 〜 AssumeRoleの正体 | Developers.IO
  https://dev.classmethod.jp/articles/iam-role-and-assumerole/
• IAM ロールの信頼ポリシーで設定する外部 ID(sts:ExternalId) について
  https://dev.classmethod.jp/articles/iam-role-externalid/

補足：現在 AWS は、長期のアクセスキーを持つ IAM ユーザではなく、 IAM Identity Center（旧 AWS SSO）や IAM ロールによる一時認証情報の利用を推奨している。

移行メモ

• 元 Wiki では見出しそのものが他ページへのリンクになっていた箇所は、 GitHub Wiki では見出しからアンカが生成されるため、 見出しをプレーン・テキストとし、リンクは直下の本文に置いた。
• マイクロソフト系技術情報 Wiki（techinfoofmicrosofttech.osscons.jp）への URL リンクは、移行済みの Azure サービス プリンシパル に張り替えた。
• PukiWiki のページ内アンカ（#xxxxxxxx）は GitHub Wiki では再現できないため、 同一ページ内のアンカは見出しから生成されるアンカに張り替え、 他ページのアンカを指すリンクは「〜（ページ名 の該当節を参照）」の形に置き換えた。
• 本文の無い見出し（「Identity Provider」）は、その旨を明示した。
• リンク先が未移行のページは、移行先のファイル名を `DNET_○○.md` の形で示し TODO.md に登録した。

---

Tags: 移行, AWS, IAM, User, Group, Role, Policy, AssumeRole, ExternalId, 混乱した代理問題