GCPに管理者権限で入るのをやめる！ sudoコマンドのようなJust in Timeな権限管理
この記事はGoogle Cloud Platform Advent Calendar 2020の18日目です。 はじめに LinuxサーバやWindowsサーバに「rootやAdministoratorなどの特権アカウントで入らない」というのは良く利用。。。と言うかもはや鉄板中の鉄板のプラクティスだと思います。rm -rf / tmp/hogehogeを実行して顔を青くしたことがある人もいるのでは？ このような事故を防ぐために最小権限で通常はアクセスする考え方を 「最小権限の原則 (The least privilege principle)」 と呼びます。 (wheel権限が付いてるにしても)サーバへのログインで特権ユーザそのものを使う人は流石にほとんど無いと思います。でも、クラウド環境そのもの、つまりGCPコンソールへはオーナー権限等の特権アカウントで入ってしまう怠け者のエンジニアは誰
AWS 管理コンソールを社内認証と SSO 化させる #m3dev - Qiita
この記事は「エムスリー Advent Calendar 2015」の 5 日目の記事です。 IAM で個人ユーザとか作りたくない AWS といえば SDK や CLI で API 連携して色々と操作できるわけですが、一方で管理コンソールも使うことも多いかと思います。この管理コンソールへのアクセス権限の管理はどのようにされているでしょうか？もし逐一 IAM ユーザをつくって運用するとしたら、数十人規模になるとかなり煩雑ですね。 エムスリーの場合、2015 年現在ではオンプレで運用されているサービスの方が多くて、ほとんどのサービスがヘビーに AWS を使っているというわけではないのですが、とはいえ、マネージドサービスはある程度使っていますし、新しいサービスでは全面的に AWS を使っているものもあります。また、AWS アカウント（ルートアカウント）を Sandbox 環境、QA 環境、本番環境
複数のAWSアカウント管理を制するものが、AWSを制する - プログラマでありたい
いよいよ明日発売開始であるAmazon Web Services 業務システム設計・移行ガイドの一貫したテーマが、「企業内でどのようにAWSを使っていくのか」です。企業内でのユースケースを元に、ネットワーク／システム設計や運用管理、移行の話をしています。その中で１章を割いて説明しているのが、AWSアカウントをどのように管理するかです。 複数（マルチ）AWSアカウント管理の重要性 AWSを利用する上で、AWSアカウントをどのように管理していくかは最重要事項です。AWSアカウント管理というと、一般的には、AWSリソースの認証認可であるIAMを使った運用方法について語られることが多いです。しかし、企業内で利用する際は、それだけでは不十分です。何故なら、企業内では１つのAWSアカウントではなく、複数のAWSアカウントを作成し運用することになるからです。いわゆるマルチアカウント運用です。 企業内での
Creating a member account in your organization - AWS Organizations
This page describes how to create AWS accounts within your organization in AWS Organizations. To learn about getting started with AWS and creating a single AWS account, see the Getting Started Resource Center. An organization is a collection of AWS accounts that you centrally manage. You can perform the following procedures to manage the accounts that are part of your organization: When you create
IAM ユーザーのパスワードの管理 - AWS Identity and Access Management
AWS Management Console を使用して AWS リソースを操作する IAM ユーザーには、サインインのためのパスワードが必要です。AWS アカウントの IAM ユーザーのパスワードを作成、変更、削除できます。 ユーザーにパスワードを割り当てると、ユーザーは、以下のような、アカウント用のサインイン URL を使用して AWS Management Console にサインインできます。 https://12-digit-AWS-account-ID or alias.signin.aws.amazon.com/consoleIAM ユーザーの AWS Management Console へのサインインの詳細については、AWS サインイン ユーザーガイドの「AWS にサインインする方法」を参照してください。 ユーザーは、パスワードが割り当てられている場合でも、AWS リソー
AWSのIAM & STSの基礎知識
ちょっとマニアックですが、AWSのIAMやSTSについてどのようなものかを調べたので、完全俺得メモです。 理解が間違ってそうなところがあればぜひTwitterとかで突っ込んでくださいw 🚌 IAMとは？IAM とは - AWS Identity and Access Management IAMとは「AWS Idエンティティand Access Management」の略で、AWSのアカウントがもつ権限を一部他人に付与できるしくみ。 🍮 IAMの機能機能としては次のようなものがある。 - AWS アカウントへのアクセスの共有できる - 他の人に「自分のAWS」のリソース管理や利用のための権限を付与 - アクセス権限を詳細に設定できる - どのリソースをどこまで利用できるかといったことを細く設定できる - 多要素認証（MFA） - パスワード/アクセスキー以外にも、特別に設定されたデバイ
Additional Example AWS IAM Policies Added to the IAM Documentation for You to Use and Customize
You can now more easily create fine-grained AWS Identity and Access Management (IAM) policies by using new Example Policies. The example policies in the IAM documentation include more than thirty examples to help you manage access to your AWS Cloud resources. The example policies provide you policy templates to help you specify specific resources and access conditions in your policies. The example
Newly Updated: Example AWS IAM Policies for You to Use and Customize | Amazon Web Services
AWS Security Blog Newly Updated: Example AWS IAM Policies for You to Use and Customize To help you grant access to specific resources and conditions, the Example Policies page in the AWS Identity and Access Management (IAM) documentation now includes more than thirty policies for you to use or customize to meet your permissions requirements. The AWS Support team developed these policies from their
【レポート】AWS Summit Tokyo 2017: DevSecOps on AWS – Policy in Code – #AWSSummit | DevelopersIO
『AWS Summit Tokyo 2017』が2017年5月30日(火)〜6月2日(金)、グランドプリンスホテル新高輪 品川プリンスホテル アネックスタワーで開催されています。 当エントリでは『DevSecOps on AWS - Policy in Code』をレポートしたいと思います。 AWS Summit Tokyo 2017（2017年5月30日～6月2日）｜AWS セッション概要 当セッションの登壇者及び概要は以下の通りです。 スピーカー： 酒德 知明 アマゾン ウェブ サービス ジャパン株式会社 技術統括本部 パートナーソリューションアーキテクト セッション概要： 多くのユーザが、AWS を DevOps プラットフォームとして選択頂いています。スモールスタートは AWS クラウドの良さですが、規模が大きくなるに連れ、開発が複数の AWS アカウントにまたがったり、よりセキュ
Google Cloud Platform Japan 公式ブログ: AWS ユーザー向けの Google Cloud IAM ガイドを公開
IT 戦略の一環として複数ベンダーのクラウド サービスを併用したいと考える企業は少なくありません。そうすることで、さまざまなクラウド ベンダーが提供する独自のサービスを活用できるほか、災害や復旧の際にアプリケーションの可用性を保てるからです。 ただし、複数ベンダーのクラウドを運用していくには、プロバイダーによって異なる IAM（ID およびアクセス管理）のポリシーを扱うなど、より洗練された計画や管理が必要となります。さまざまなプラットフォームでリソースやデータを保護する際にカギとなるのは、正しい IAM ポリシーを設定することなのです。 私たち Google は先ごろ、Amazon Web Services（AWS）に備わる IAM の利用経験があるユーザーを対象に、Google Cloud Platform（GCP）の IAM ポリシーについて記したガイドを公開しました。AWS と GC
IAM basic and predefined roles reference | IAM Documentation | Google Cloud
projects.locations.workloadIdentityPools.providers.operations
クイックスタート: Google Cloud コンソールでロールを付与する | IAM のドキュメント
フィードバックを送信 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 Google Cloud コンソールを使用して IAM ロールを付与する Google Cloud コンソールを使用して、プリンシパルにプロジェクト レベルで IAM ロールを付与する方法を学習します。 次の動画をご覧ください。 このタスクを Google Cloud コンソールで直接行う際の順を追ったガイダンスについては、「ガイドを表示」をクリックしてください。 ガイドを表示 始める前に Google Cloud プロジェクトを作成する このクイックスタートでは、新しい Google Cloud プロジェクトが必要になります。 Google Cloud コンソールでプロジェクトの選択ページに移動します。 プロジェクト セレクタに移動 Google Cloud プロジェクトの作成を開始す
IAM の概要 | IAM のドキュメント | Google Cloud
フィードバックを送信 IAM の概要 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 このページでは、Google Cloud の Identity and Access Management（IAM）システムの仕組みと、IAM を使用して Google Cloud でアクセスを管理する方法について説明します。 IAM を使用すると、特定の Google Cloud リソースに対するアクセス権をきめ細かく設定し、他のリソースへのアクセスを防ぐことができます。IAM を使用すると、最小権限のセキュリティ原則を導入できます。この原則では、必要以上に多くの権限を付与しないことが規定されています。 IAM の仕組み IAM では、誰（ID）がどのリソースに対してどのようなアクセス権（ロール）を持つかを定義することにより、アクセス制御を管理します。たとえば、Comp
New! Attach an AWS IAM Role to an Existing Amazon EC2 Instance by Using the AWS CLI | Amazon Web Services
AWS Security Blog New! Attach an AWS IAM Role to an Existing Amazon EC2 Instance by Using the AWS CLI AWS Identity and Access Management (IAM) roles enable your applications running on Amazon EC2 to use temporary security credentials that AWS creates, distributes, and rotates automatically. Using temporary credentials is an IAM best practice because you do not need to maintain long-term keys on yo
IAM JSON ポリシー要素のリファレンス - AWS Identity and Access Management
JSON ポリシードキュメントは要素で構成されます。要素は、ポリシーで使用する一般的な順番で記載されています。要素の順番は重要ではありません (たとえば、Resource 要素を Action 要素の前にもってくることなどが可能です)。ポリシーで、あらゆる Condition 要素も特定する必要はありません。JSON ポリシードキュメントの全体構造と目的については「JSON ポリシー概要」をご覧ください。 一部の JSON ポリシーの要素は相互排他的です。つまり、両方を使用するポリシーを作成することはできません。たとえば、Action と NotAction を同じポリシーステートメントで使用することはできません。相互排他的な他のペアには Principal/NotPrincipal や Resource/NotResource があります。 ポリシーに取り入れる詳細は各サービスによって異
[AWS]セキュアにIAMユーザのMFA有効化する手順2017年度版 ｜ DevelopersIO
コンニチハ、千葉です。 過去エントリーにも、MFA有効化手順がありますが、AWS画面が変わっていることやMFA有効化のためのIAMポリシーをアタッチしたもっとセキュアに利用するための手順としてまとめます。 用意するもの AWSアカウント MFAデバイス※後で説明 手順サマリ MFAデバイスの用意 IAMポリシーのアタッチ(Administrator権限以外) IAMユーザのMFA有効化 MFAデバイスの用意 まずは、MFAデバイスを用意します。複数種類があるので、適切なデバイスを選択します。 https://aws.amazon.com/jp/iam/details/mfa/#Virtual_MFA_Applications 仮想デバイス Android、iPhone、 Windows Phone、Blackberry上で動作するソフトウェアでの利用となります。 対応しているアプリケーショ
![[AWS]セキュアにIAMユーザのMFA有効化する手順2017年度版 ｜ DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/7ba1034b9360dd6b5d9f1c5c3fa68ed286fc549d/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2014%2F05%2FIAM.png)
複数AWSアカウントのユーザ管理を、ログイン用AWS環境に集約してみた | DevelopersIO
はじめに AWSチームのすずきです。 IAM権限の分離や、請求情報の明確化を実現する手段として、AWSアカウントの分割を実施する事があります。 AWSアカウントとVPC、分ける？ 分けない？: 分割パターンのメリット・デメリット 統合認証基盤と連携したSSOなどを利用しない場合、ユーザ管理の煩雑化が問題となる事がありましたが、 複数のAWSアカウントで構成された環境のIAMユーザ管理と、その権限管理を ログイン専用のAWS環境を用意し、効率化する機会がありました。 その内容について紹介させて頂きます。 概要図 基本方針 当該環境のAWS、IAMの利用方針は以下としました。 開発、本番環境では、IAMはRoleの利用を原則とします。 IAMユーザはログイン環境のみに設置します。 Roleに対応しないツールに限り、例外としてIAMユーザ(アクセスキー)の設置を認めます。 全てのIAMユーザは定
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
AWS Management ConsoleでSwitch Roleした際にヘッダの色を変更する - ryotarai's blog
BigQuery の IAM ロールと権限 | Google Cloud
JAWS DAYS 2017 Deep Dive IAM 権限をこえて 〜第三部 IAMの鼓動はログ〜