べこの丸太

赤い牛のログです。

【参加レポ】JAWS-UG CLI専門支部 #187R IAM基礎 (ポリシー) #jawsug_cli

こんにちは、べこです。
今回は JAWS-UG CLI専門支部 #187R IAM基礎 (ポリシー) の参加レポです。

jawsug-cli.connpass.com

ざっくり3行

  • IAMの考え方は、権限を「足していく」ではなく「制限していく」
  • IAMポリシーは最大5つまでバージョン違いを設定可能
  • 実際にCLIでIAMポリシーの作成等を行なった

IAMポリシー関連のお話

Speaker: 波田野裕一さん

  • IAMのスタンスは、権限を「足していく」ではなく「制限していく」
  • ポリシーの構成要素
    • 基本はアクションとリソースの組み合せ
      • Effect: Alllow or Deny
      • Action: どういう操作か
      • Resource: どのリソースに対してか（arnで記述する）
    • Efffectの優先順位
      • 同一のアクションやリソースに対して許可と拒否が重複する場合、以下の優先順位で評価される。
      • １：明示的な禁止（最強）
      • ２：明示的な許可
      • ３：暗黙の拒否（デフォルト値）
  • 最小権限の実現（5W1Hで考える）
    • 誰（利用者）に
    • どこ（リソース）で
    • なぜ（意図）
    • 何をさせたい（アクション）のか
    • を明確にする
  • 最小権限の実装例
  • 2種類のIAMポリシー
    • インラインポリシー
    • 管理ポリシー（2015年ぐらいに新たに追加）
      • AWSは一般的にこちらを推奨

ここからハンズオン

  1. [CloudShell] Cloud9環境のロールにIAMFUllAccessのポリシーをアタッチ
  2. [Cloud9] IAMグループの作成
  3. [Cloud9] IAMユーザーの作成
  4. [Cloud9] APIアクセスキーの作成
  5. [Cloud9] AWS認証ファイルの作成＆アクセスキーの削除
  6. [Cloud9] IAMユーザーのIAMグループへの追加
  7. [Cloud9] IAMポリシードキュメントの作成
  8. [Cloud9] IAMポリシーの作成
  9. [Cloud9] IAMグループのポリシーアタッチ
  10. [Cloud9] CLIでの動作確認(list-enviironmentsの実行)
  11. [Cloud9] CLIでの動作確認(describe-environmentsの実行_失敗)
  12. [Cloud9] IAMポリシー(ver.2)ドキュメントの作成
  13. [Cloud9] IAMポリシー(ver.2)バージョンの作成
  14. [Cloud9] IAMポリシーのデフォルトバージョン変更
  15. [Cloud9] CLIでの動作確認(describe-environmentsの実行_成功)
  16. [CLoud9] IAMポリシー(ver.1)の削除
  17. 後片付けは忘れずに！

おわり

今回のCLI専門支部はIAMポリシーのハンズオンでした。
上記ハンズオン手順10にて、認証ファイルを読んでないのに何故か「aws cloud9 list-environments」で
『エラーが出ない！なんでだ〜〜〜〜〜〜！？！？！？！？』
となりました。
なので復讐も兼ねて週末に実施することに。
結果、何故かCloud9環境のロールに "ReadOnlyAccess" が付いてることが原因でした。
どこかのハンズオンで後片付けし忘れたんですかね。
後片付けは大事ですね。。。（反省）