Amazon S3 再入門 – AWS IAMでアクセスしてみよう！(Cyberduck 編) | iret.media
こんにちわ、cloudpack の @dz_ こと大平かづみです。 Prologue 3年前の記事 Amazon S3の利用とCloudBerry Explorerのインストール を、IAMユーザーを使った内容でリバイバルしてみました！ 参考元の記事では、ブログ等で使う画像を S3 に置いて利用する手順が紹介されています。 これを、 AWS IAMユーザーでの認証 を使って対応する手順についてまとめました。 今後、AWS IAM を利用する運用が主流となってくるので、ここでしっかり最初の一歩を押さえておきたいと思います。 作業の流れ IAMユーザーを作成 IAMユーザーに、ポリシーを設定 IAMユーザーに、パスワードの初期設定 IAMユーザーで sign-in Amazon S3 に、Bucket を作成して、AWSコンソールからファイルをアップロード デスクトップクライアント Cyber
AWSアカウント作ったらこれだけはやっとけ！IAMユーザーとAuthyを使ったMFAで2段階認証 | iret.media
AWSアカウントを安全に運用したいなら最低限これだけはやっとけというTIPSです。 0.AWSのアカウントの種類 AWSアカウントを作ったときには、AWSのrootアカウントしか存在していません。 このままだと「メールアドレス」「パスワード」で「AWSリソースの操作が何でも」できてしまいます。 そこで管理コンソールへのログインはMFA(Multi-Factor Authentication)を利用したうえで、root以外にIAM Userというアカウントを作成し、限定した権限で利用することが強く推奨されています。 rootアカウント：AWSアカウント作成時に作成される何でもできるユーザー IAMユーザー：権限を限定して設定できるユーザー 1.Authyのセットアップ 2段階認証を導入するためにハードウェア型のMFAデバイスか、ソフトウェア型のVirtual MFAが使用可能です。今回はVi
Check! Updated IAM Console – AWS IAMコンソールがアップデート | iret.media
おはようございます、cloudpack の @dz_ こと大平かづみです。 IAMコンソールがアップデートされたそうです。 http://aws.amazon.com/blogs/aws/updated-iam-console/ 8/5 10:20 現時点で、日本語ブログがまだのようなので、とりいそぎ、和訳してみました。 If you are an AWS user, I sincerely hope that you are using AWS Identity and Access Management (IAM) to control access to your services and your resources! AWSユーザなら、AWSのサービスやリソースへのアクセスコントロールのために、 AWS Identity and Access Management (IAM) を
IAMとSTS その2 | iret.media
AWSで権限に関わる機能の名前 意外と多いのでちょっと整理 User-Based Policy Resource-Based Policy Role Cross-Account Access Using Resource-Based Policies Cross-Account API Access Using IAM Roles User-Based Policy 要するにUserに対してこのユーザーは何の権限を持ってますよってマネジメントコンソールのIAMから設定してるあれです 余りにも当たり前に使うので割愛 Resource-Based Policy S3、SNS、SQS、OpsWorksでのみサポートされるリソース単位で誰がアクセスを出来ると設定できる機能 下記のようにUser-Basedが指定ユーザーが指定リソースにアクセスできるではなく 指定リソースにアクセスできるユーザーを設
IAMとSTS | iret.media
どうも、Battle Programmer Sebastianです！(言ってみたかっただけ) awsをプログラムする上で避けては通れないと言うより、必須になるサービスとしてIAMとSTSと言う物があります。 実は僕はこのサービス大好きです。 何で好きかって言うとこいつを通すとawsをプログラマとして好きに弄れるから インフラと考えると何これってサービス何ですけれどawsを ネットワーク上のハードウェアを全てプログラマブルなリソースとしてみる とても素晴らしいサービスなんです。 何て俺様な名前だろうとかベタな事は言わないで下さい。 Identity and Managementの略です。 主に何をするものかざっと説明しますと awsにアクセスできるユーザーを管理する。(作成、削除) ユーザーをグループに分けて管理する ユーザーとグループに各種サービスのアクセス権限(ポリシー言います)を与える
aws cliでサーバ証明書を削除する | iret.media
cloudpack の がみさんです。 ELBでSSL Terminationをよく利用されると思うのですが、私自身使用したことがなく、 アップロード済みで、不要になったサーバ証明書はどうやって削除するのかよくわからなかったのでメモを残します。 aws iamの引数だったとは・・・ 一覧の確認 orenomac$ aws iam list-server-certificates --profile orenoprofile { "ServerCertificateMetadataList": [ { ..省略.. } orenomac$ aws iam delete-server-certificate --server-certificate-name orenossl --profile orenoprofile アップロード aws iam upload-server-certifi
cloudpackブログ - IAMリソースをCloudFormationで作成する注意点
下記のような、CloudFormationテンプレートでスタックを作るケースを想定します。 これは、直接スタックを作成するテンプレートが、IAMリソースを作成するテンプレートを 呼び出す(インクルードされている)状態を想定しています。 このテンプレートから下記のようにスタックを作成すると、 下記のようにエラーが発生し、ロールバックされてしまいます。 原因は、IAMを作成するテンプレートで問題が発生したからです。 この問題は、下記のようにIAMリソース作成の確認に関するチェックを入れてなかったために 発生しました。 これにより、チェックを入れて作成することで今度は無事作成されます。 尚、直接IAMリソースを作成するテンプレートでスタックを作成しようとすると、 下記のようにスタックを作り始める前にエラーとなります。 こちらの記事はなかの人（suz-lab）監修のもと掲載しています。 元記事は、
cloudpackブログ - IAM RoleをCloudFormationで作ってみた
テンプレートは下記のようになります。 suz-lab_iam-base.json { "AWSTemplateFormatVersion": "2010-09-09", "Description": "SUZ-LAB Formation IAM Base", "Mappings": { "AvailabilityZoneMap": { "ap-northeast-1": { "AzA": "ap-northeast-1a", "AzB": "ap-northeast-1b", "AzC": "ap-northeast-1c" } } }, "Parameters": { "PowerUserName": { "Default": "power-user", "Description": "Power User Name", "Type": "String" } }, "Resources"
cloudpackブログ - AWS SDK for PHPでIAMのPassword設定を行い、ログインURLを取得する方法
今回は、AWS SDK for PHPでIAMのPassword設定を行い、ログインURLを取得する方法を紹介します。 はじめに、下記のように「create_login_profile」コマンドでPassword設定を行います。 そして、「USER_NAME」に作成済みのUserNameを記述し、「PASSWORD」に設定するパスワードを記述します。 これにより、Password設定が完了します。 require_once('AWSSDKforPHP/sdk.class.php'); $iam = new AmazonIAM(); $response = $iam->create_login_profile('USER_NAME', 'PASSWORD'); var_dump($response->isOK()); ?> 次に、ログインURLを取得するには下記のように「get_user」コ
cloudpackブログ - IAMアカウントでアカウントアクティビティの情報も閲覧可能にする
IAMアカウントでアカウントアクティビティの情報を閲覧可能にする権限の付け方を紹介します。 まず、下記のように通常通りIAMアカウントを作成します。 AWSコンソールで「IAM」を選択し、「Users」の「Create User」をクリックします。 User Nameを入力し、「Create」をクリックします。 「Permissions」タブの「Attach User Policy」をクリックします。 「Manage User Permissions」の「Administrator Access」をクリックします。 「Policy Document」にアカウントアクティビティの情報を閲覧可能にする権限を付与する下記のコードを入力し、 「Apply Policy」をクリックします。 { "Statement":[{ "Effect":"Allow", "Action":"*", "Resou
cloudpackブログ - DynamoDBをIAMでアクセス制限
DynamoDBは便利です。 テーブル作成は、AWSのManagementConsoleウィザードで簡単にできます。 その為、簡単に作成し、すぐに検証することが可能です。 また、テーブル削除も同様に簡単に行う事が可能です。 テーブルはあるだけでお金が掛かる為、不要となったものの削除作業が楽なのは助かります。 しかし、肝心の本番用テーブルを消してしまわない様に注意が必要です。 そこで今回は、IAMアカウントで本番用と開発用と分けてアクセス制限してみたいと思います。 ○制御内容 ネーミングルール（少なくとも本番用）が必要となる為、今回は下記のようにします。 本番用はテーブル名の頭にprd_を付ける 開発用はそれ以外 ○アカウント アカウントは二つ作成します。 本番用アカウント prd_dynamo 開発用アカウント dev_dynamo ○グループ DynamoDBではアラート設定ができるため
cloudpackブログ - IAM roles for EC2 instancesでAWS PHP SDKを試してみる
EC2上からAPIを実行する際には、アクセスキー、シークレットキー等を設定するのですが、下記の発表により、よりシンプルかつ安全に実現できるようになりました。 【AWS発表】IAM roles for EC2 instances – シンプルに安全にEC2からAWSサービスのAPIに アクセス可能に 今までは、IAMからアクセスキー、シークレットキーを取得し、EC2上に設定ファイル等の形で配置して利用する方法が多かったと思います。 (より安全にするためS3に配置して利用する方法もあると思いますが) これが上記の機能により、AWSがEC2のメタデータにキーを設定してくれるようになりました。 具体的には下記のように取得することができます。 # curl http://169.254.169.254/latest/meta-data/iam/security-credentials/ec2 { "
cloudpackブログ - AWS SDK for PHPでIAMにグループを追加してポリシーを設定する
こんにちは。 見習い職人の櫛田です。 前回はAWS SDK for PHPでIAMにユーザを追加してポリシーを設定するの記事を紹介しましたが、今回は、AWS SDK for PHPでIAMにグループを追加して追加したグループにポリシーを設定してみます。 はじめに、下記のようにIAMにグループ名を指定してグループを追加します。 create_group('test_group'); // 結果を確認する var_dump($response->isOK()); ?> 下記のようにグループが作成されました。 そして、このグループにポリシーを付与してみます。 今回も、S3のみ利用することができる権限を付与しました。 array( array( 'Effect' => 'Allow', 'Action' => 's3:*', 'Resource' => '*' ) ) )); // グループにポリ
cloudpackブログ - AWS SDK for PHPでIAMにユーザを追加してポリシーを設定する
こんにちは。 見習い職人の櫛田です。 今回は、AWS SDK for PHPでIAMにユーザを追加して追加したユーザにポリシーを設定してみます。 はじめに、下記のようにIAMにユーザ名を指定してユーザを追加します。 create_user('sohei'); // 結果を確認する var_dump($response->isOK()); ?> 下記のようにユーザが作成されました。 そして、このユーザを既存のグループに追加してみます。 下記のように、ユーザ名、グループ名を指定して実行します。 add_user_to_group('team', 'sohei'); // 結果を確認する var_dump($response->isOK()); ?> これにより、グループに追加することができました。 そして最後に、ユーザにポリシーを付与してみます。 今回は、S3のみ利用することができる権限を付与
cloudpackブログ - IAMで、S3のバケット内の特定のオブジェクト以下のみ許可する
2011年11月14日 IAMで、S3のバケット内の特定のオブジェクト以下のみ許可する Tweet S3に様々なユーザがアクセスする場合に、あるユーザが、あるバケットの特定のオブジェクト以下のみのアクセスを 許可する場合の権限を作成してみました。 条件としては、以下の通りです。 バケット名: bucket_name 許可したいオブジェクト: /path/to/dir バケット名の一覧は見える 対象のバケット以外は、中が見えない 対象のディレクトリ以外は、一覧は見える 対象のディレクトリ内は、自由に読み書きできる そして、苦労して試行錯誤した結果できたのが、以下のポリシーです。 { "Statement": [ { "Action": "s3:ListAllMyBuckets", "Effect": "Allow", "Resource": "*" }, { "Action": "s3:
cloudpackブログ - S3のIAM(AWS Identity and Access Management)設定方法
こんにちは。 職人見習いの櫛田です。 今回は、S3のIAM(AWS Identity and Access Management)の設定をする機会がありましたので、 紹介します。 まず、最近更新されたManagement ConsoleからAWS Identity and Access Management (IAM)を選択し 左メニューのUsersをクリックします。 下記のような画面が表示されるので、Create Userをクリックします。 そして、登録するユーザの名前を入力し、Createをクリックします。 登録が完了すると、セキュリティ情報のダウンロード画面になるのでダウンロードしておきます。 以上で、ユーザの登録が完了しましたので、 左メニューのGroupsをクリックし、Create Groupをクリックします。 下記のような画面が表示されるので、作成するグループ名を入力し、Con
cloudpackブログ - IAMでアクセス権限を管理する
こんにちは。 職人見習いの木村です。 今回は、IAMを使ってコンソールへのアクセス権限を管理する方法を紹介します。 まずは、コンソールに入ってIAMタブに移動し「Create a New Group of Users」をクリックします。 次に、グループ名を入力。 今回は、S3のみアクセスできる権限を作ります。 次に、グループに所属するユーザーを作成していきます。 設定が完了すると、以下のようにグループとユーザーが作成されます。 ▼グループ ▼ユーザー ユーザーにパスワードを設定します。 設定したいユーザーの上で右クリックし、「Manage Password」を選択し、パスワードを設定します。 これで、全ての設定が完了しました。 それでは、実際にログインしてみます。 ログインURLは、通常のものと異なるので注意が必要です。 ログインURLは以下のようになります。 https://[アカウント
cloudpackブログ - IAMユーザーにRoute53の権限
IAMのコンソールで、標準ポリシーにRoute53の設定がないので、マニュアルでポリシーを設定します。 { "Statement":[ { "Effect":"Allow", "Action":["route53:*"], "Resource":"*" } ] } 実際の設定画面は、下記になります。 IAMのコンソール画面から、PermissionsのAttach User Policyをクリックし、Set PermissionsのCustom Policyより、上記のソースを入力します。 上記のポリシーを追加したユーザーはRoute53がフル操作することができます。 参考ドキュメントAmazon Route 53 Developer Guide こちらの記事はなかの人（kenjionsoku）監修のもと掲載しています。 元記事は、こちら
cloudpackブログ - AWSのIAMユーザーの権限で一部のS3のバケットだけリストを不可能にする
S3のバケットは、コンソール上でリードオンリーにする権限に設定することができますが、リードオンリーの場合、bucketのファイルがすべて見えてしまいます。 不要なbucketの中身を見せたくない場合には、指定したbucketをリストもできない権限を設定にしてみました。 元々のS3readonly { "Statement": [ { "Action": [ "s3:List*", "s3:Get*" ], "Effect": "Allow", "Resource": "*" } ] } 特定のbucket（hoge.buket.name）だけを見れないように指定したIAMユーザーのS3権限にDenyを指定するとhoge.buket.nameを選択しても中身が見れないようになります。 Denyの指定は、後から設定することが可能です。 { "Statement": [ { "Action":
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
cloudpackブログ - IAMでアクセスキーを変更できるアカウントを作成する