AWS IAM Policy Simulator で、アクセス許可境界ポリシーのシミュレーションが可能に
AWS Identity and Access Management (IAM) Policy Simulator によって、管理者は他のアクセス許可ポリシーとともにアクセス許可境界ポリシーをシミュレーションすることで、AWS 環境での IAM プリンシパル (ユーザーおよびロール) のアクセス許可の有効性をよりよく理解できるようになりました。さらに、開発者は Policy Simulator を使用して、アクセス許可境界ポリシーに関連する問題をデバッグできるようになりました。 この Policy Simulator で、管理者はアクセス許可境界ポリシーを作成し、既存の IAM ポリシーを使用して IAM プリンシパルに割り当てます。そして、AWS のサービスによるアクションをシミュレートすることで、シミュレートされた AWS のサービスによるアクションに対して有効な IAM プリンシパル
AWS CISO からの セキュリティに関する 10 個のアドバイス - おれさまラボ
はじめに AWS のセキュリティブログにクラウドのアカウントを守るためのヒントが紹介されていたのでメモとしてまとめておきます。 aws.amazon.com はじめに 10 個のセキュリティアドバイス Accurate account info Use MFA No hard-coding secrets Limit security groups Intentional data policies Centralize AWS CloudTrail logs Validate IAM roles Take action on GuardDuty fidings Rotate your keys Being involved in dev cycle おわりに 10 個のセキュリティアドバイス AWS re:Invent 2019 では AWS の最高情報セキュリティ責任者である Step
[アップデート]新IAM Policy Condition aws:CalledVia を学ぶ | DevelopersIO
IAM PolicyのConditionにaws:CalledViaというキーが追加されました。どういったキーなのかご説明します。 一言でいうと 「特定のサービス経由で実行している/いない」という権限付与の条件が設定可能になりました。 具体例を出して説明します。 これまで: aws:CalledViaが無い世界 CloudFormation（以下CFn）を使って、VPCを作成したいとします。 CFnテンプレートは至極シンプルです。 AWSTemplateFormatVersion: "2010-09-09" Description: Create VPC Resources: VPC: Type: AWS::EC2::VPC Properties: CidrBlock: "192.168.0.0/16" EnableDnsSupport: "true" EnableDnsHostnames
![[アップデート]新IAM Policy Condition aws:CalledVia を学ぶ | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/be87d4dc194a448afd90d0a4b97626b36839fd3a/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F05%2Faws-iam.png)
AWS Identity and Access Management (IAM) Access Analyzer のご紹介
AWS Identity and Access Management (IAM) Access Analyzer は新しい機能で、セキュリティチームと管理者が、リソースへの意図したアクセスのみがポリシーで提供されているかを簡単に確認できるようにします。リソースポリシーにより、お客様は特定のリソースにアクセスできるユーザーと、クラウド環境全体でそのリソースを使用する方法を細かく制御できます。IAM コンソール を 1 回クリックするだけで、お客様は、アカウント全体で IAM Access Analyzer を有効にすることができます。これにより、Amazon S3 バケット、AWS KMS キー、Amazon SQS キュー、AWS IAM ロール、および AWS Lambda 関数に関連付けられたポリシーを使用して、付与されたアクセス許可を継続的に分析できます。 IAM Access An
AWSでMFAを利用しつつセッショントークンをいい感じで取ってくるツール "sesstok" を書いた - その手の平は尻もつかめるさ
github.com 書いたと言っても書いたのは3ヶ月近く前でした．リリース告知をしていないことに気づき，本記事にしている次第です。 何をやるツールかというと，以下の記事に書かれていることをいい感じにやるツールでして， aws.amazon.com 1. Userの accessKeyID, secretAccessKey および mfaSerial (MFA device ARN) を使って、STSのセッショントークンを取ってくる (これらの情報は初回実行時に設定可能で，rcファイルに保存される) 2. 取ってきたセッショントークンをAWSのcredfentialsファイルに適用する (適用せずにトークンだけ取ってくることもできる) というような動きをします．自動でcredentialsファイルを変更するというのがキーポイントですね．AWSのcredentialsファイルは通常のiniフ
入社後にAWSアカウントの整理とAWS SSOを導入した話 - トレタ開発者ブログ
こんにちは、2019年7月よりトレタにJOINした @aibou です。 本記事はトレタ Advent Calendar 2019の16日目の記事です。 趣味はNFL観戦とボルダリングです。NFLは今年11月にマイナス気温の屋外で現地観戦してきました。 最近リードクライミングの講習を受けまして、ガシガシと岩を登っております。 さて、今回はAWSアカウントとAWS SSOのお話をしようと思います。 既に社内エンジニアへの共有や社内WikiにAWS SSOの利用マニュアルを残していますが、経緯や変遷について記載していないので、トレタ社員の方にも読み物として読んでいただければなと思っています。 免責事項 本記事を参考に実施したことで発生した金銭・セキュリティ等あらゆる問題について責任を負いかねますので、自己責任のもと実施していただくよう、よろしくお願いいたします。 また、誤り等あればはてブ等でご
Actions, resources, and condition keys for AWS services - Service Authorization Reference
Actions, resources, and condition keys for AWS services Each AWS service can define actions, resources, and condition context keys for use in IAM policies. This topic describes how the elements provided for each service are documented. Each topic consists of tables that provide the list of available actions, resources, and condition keys. The actions table The Actions table lists all the actions t
Amazon EKS でのアプリケーション負荷分散 - Amazon EKS
Kubernetes ingress を作成するとき、アプリケーショントラフィックの負荷分散を行う AWS Application Load Balancer (ALB) がプロビジョニングされます。詳細については、「Application Load Balancer ユーザーガイド」の「Application Load Balancer とは？」および「Kubernetes ドキュメント」の「イングレス」を参照してください。ALB は、ノードまたは AWS Fargate にデプロイされた Pods で使用できます。ALB をパブリックサブネットまたはプライベートサブネットにデプロイできます。 アプリケーショントラフィックは、OSI モデルの L7 で負荷分散されます。L4 でネットワークトラフィックの負荷分散をするには、LoadBalancer タイプの Kubernetes serv
新ポリシー AmazonSSMManagedInstanceCore がサポートされました | DevelopersIO
2019/6/14更新 元のブログタイトルは「AmazonEC2RoleforSSMが非推奨になります」です。 ドキュメントから AmazonEC2RoleforSSM を非推奨とする文言がなくなっているため、タイトルを修正しました。 最新の情報については、ドキュメントを参照ください。 こんにちは、中川です。 これまでAWS管理ポリシーの AmazonEC2RoleforSSM を使用して、SystemsManagerでEC2のオペレーションをできるように許可していました。 しかし、AmazonEC2RoleforSSM は、許可している権限の範囲が広いので、将来的には AmazonEC2RoleforSSM の使用が非推奨となるアナウンスがありました。 Create an IAM Instance Profile for Systems Manager 原文 This approach
IAM ポリシーの使用により、AWS リージョンへのアクセス管理が容易に
AWS Identity and Access Management (IAM) で許可の管理が合理化され、特定のリージョンへのアクセスを管理するために、全 AWS のサービスで 1 件の IAM ポリシー条件を使用できるようになります。IAM ポリシーの条件エレメントに、新しいグローバル条件キー「aws:RequestedRegion」を追加することで、IAM プリンシパル (ユーザーまたはロール) が AWS の処理を実行できるリージョンへのアクセスを管理できます。 たとえば、開発者は IAM ポリシーの単独のグローバル条件キーを使用することで、新しい EC2 インスタンスを開始する、RDS でデータベースを作成する、Lambda 関数を作成することが可能になります。
ルートユーザー認証情報が必要なタスク - AWS Identity and Access Management
AWS へのサインインに問題がある場合 ユーザーのタイプに応じて正しい AWS サインインページが表示されていることを確認します。AWS アカウントのルートユーザー (アカウント所有者) の場合は、AWS アカウント の作成時に設定した認証情報を使用して AWS にサインインできます。IAM ユーザーの場合、アカウント管理者から AWS へのサインインに使用可能な認証情報をもらうことができます。サポートをリクエストする必要がある場合、このページのフィードバックリンクは使用しないでください。このフォームは AWS サポートではなく、AWS Support ドキュメントチームに送信されます。代わりに、「お問い合わせ」ページで [AWS アカウントにまだログインできない] を選択してから、表示されているサポートオプションのいずれかを選択します。 日常的なタスクを実行したり、AWS リソースにアク
Lambda 実行ロール - AWS Lambda
Lambda 関数の実行ロールは、AWS サービスおよびリソースにアクセスする許可を関数に付与する AWS Identity and Access Management (IAM) ロールです。Amazon CloudWatch にログを送信するアクセス許可を持つ実行ロールを作成し、トレースデータを AWS X-Ray にアップロードすることができます。このページでは、Lambda 関数の実行ロールを作成、表示、および管理する方法について説明します。 関数を作成する際に、実行ロールを提供します。関数を呼び出すと、Lambda はこのロールを引き継いで関数に一時的な認証情報を自動的に渡します。関数コードで sts:AssumeRole を呼び出す必要はありません。 Lambda が実行ロールを適切に引き受けるには、ロールの信頼ポリシーが、Lambda サービスプリンシパル (lambda.a
IAM database authentication for MariaDB, MySQL, and PostgreSQL - Amazon Relational Database Service
IAM database authentication for MariaDB, MySQL, and PostgreSQL You can authenticate to your DB instance using AWS Identity and Access Management (IAM) database authentication. IAM database authentication works with MariaDB, MySQL, and PostgreSQL. With this authentication method, you don't need to use a password when you connect to a DB instance. Instead, you use an authentication token. An authent
AWS IAM で RDS for MySQL と Amazon Aurora データベースへのアクセスを管理
本日より Amazon RDS で AWS Identity and Access Management (IAM) を使用して Amazon RDS for MySQL DB インスタンスや Amazon Aurora DB クラスターのデータベースアクセスを管理できるようになりました。データベースの管理者はデータベースユーザーと IAM ユーザーやロールを関連付けることができます。IAM を使用することで、すべての AWS リソースへのユーザーアクセスを 1 か所で管理することができ、別の AWS リソースと同期していないアクセス許可に起因する問題を避けられます。 DB インスタンスの作成中に該当のチェックボックスをオンにすることで、データベースユーザー認証で IAM を使用できます。IAM 認証を有効にするように既存の DB インスタンスを変更することも可能です。有効後、データベース
IAMによるAWS権限管理運用ベストプラクティス (1) | DevelopersIO
よく訓練されたアップル信者、都元です。AWSにはIAMという権限管理のサービスがあります。AWSを専門としている我々にとっては当たり前の知識なのですが、皆さんはこの機能を上手く使えているでしょうか。 AWSにおけるクレデンシャルとプリンシパル まず、AWSにおけるクレデンシャルは大きく2種類 *1に分かれます。 Sign-In Credential：Management Consoleログインのためのクレデンシャル（要するにパスワード） Access Credentials：APIアクセスのためのクレデンシャル（要するにAPIキー） また、プリンシパル（ログインする主体、ユーザ名等）にも大きく2種類 *2があります。 AWSアカウント IAMユーザ これらの組み合わせとして「AWSアカウントのパスワード」「AWSアカウントのAPIキー」「IAMユーザのパスワード」「IAMユーザのAPIキー
IAMを使って特定の人に特定のbucketのみ操作を許可する | kirie.net blog
S3を使う時に特定の人に特定のbucketだけを許可したい場合。 AWS Management Consoleにログイン IAMタブを開く Groupsで「Create New Group」をクリックしWizardを開く Select Policy Templateで「Amazon S3 Full Access」を「Select」 下記の内容にPolicy Documentを修正 「Continue」をクリック「Create Group」でグループを作成 作成したグループに権限を割り当てたいユーザを加えて完了 Pollcy Documentはこんな感じ { “Statement”: [ { “Effect”: “Allow”, “Action”: “s3:*”, “Resource”: “arn:aws:s3:::hoge.bucket.hoge” }, { “Effect”: “Allo
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
404 | Developers.IO
IAMロールはどこから来て、どこへ行くのか / Where do IAM rolls come from and where to go?