あなたが知らない（かもしれない）Google Cloud アクセス管理
はじめにこんにちは、Google Cloud Customer Engineer の Yutty です。久しぶりの投稿です。今回の投稿は、kwjp@との共著です。 2019年の Advent calendar で「 GCP の IAM をおさらいしよう」という記事を書きました。未だに多くの方に読んでいただいており、IAM まわりで情報を探している方も多いのだろうと推測しています。 今回は、比較的新しい機能や、こういうときどうするの？といったプラクティスを紹介していきたいと思います。 Cloud Identity Groupsもしかしたら、このトピックは「サービスアカウント Google グループ」といったキーワードで検索された方にはピッタリかもしれません。 10 new security and management controls for GCP and G Suite でも紹介されて
GCPの秩序を取り戻すための試み 〜新米GCP管理者の奮闘記〜 - ZOZO TECH BLOG
こんにちは。SRE部データ基盤チームの塩崎です。ZOZOテクノロジーズではGCPの管理を各プロジェクトのOwnerに任せていた時期が長く続いていましたが、今期から全社的なGCP管理者を立てることになりました。本記事では新米GCP管理者である僕が全社的なGCPの管理をする上で遭遇した事例を紹介します。時には泥臭い方法で、時にはプログラムの手を借りて自動化をし、数々の難題に対処しました。 GCPのリソース階層について 具体的な事例紹介の前に、GCPのリソース階層を説明します。多くのGCP利用者からは、プロジェクトが最上位のリソースであるように見えますが、実はそれ以上の階層が存在します。以下の図をご覧ください。図の通り、プロジェクトの上位リソースとしてFolder、Organizationという2つのリソースが存在します。 cloud.google.com Folderはプロジェクトの論理的なま
GoogleアカウントからSAML認証でAWSにログインする - やんばるテック
IAMユーザーを使わずに、GoogleアカウントからSAML認証でAWSのマネジメントコンソールにログインする場合の手順をスクリーンショット付きでまとめました。 使用するGoogleアカウントについては普通の@gmail.comのアカウントでは不可で、有料サービスであるGoogle Workspace(旧名 G Suite)のGoogleアカウントである必要があります。 Google Workspaceは、一番安いBusiness Starterプランで1ユーザー680円/月がかかります(2021年7月現在)。 以下の手順の通りにやってもうまくいかない場合は、Google公式のヘルプに掲載されている手順を参照してください。 目次 目次 【Google】カスタム属性の追加 【Google】IdPメタデータのダウンロード 【AWS】IDプロバイダーの追加 【AWS】IAMロールの追加 【Goo
GCP の IAM をおさらいしよう
この記事は Google Cloud Japan Customer Engineer Advent Calendar 2019 の 6日目の記事です。 TL;DR本記事ではGoogle Cloud Platform (GCP) での ユーザーや権限を管理する IAM について整理していきます。 はじめにクラウドを使う上で、ユーザー管理や権限管理は重要ですよね。GCP を使う際に、どのようにユーザー管理できるのか、権限管理や認証を整理してみようと思います。GCP では権限管理を Identity and Access Management（ IAM ）というもので管理しています。IAMでは、誰が、どのような操作を、何に対して行えるかというものを定義・管理します。これによりアカウントの追加・削除や権限付与がシンプルになり、管理が容易になります。 IAMのユーザーと権限GCP で利用できるアカウ
Cloud Identity について
Cloud Identity は IDaaS（Identity as a Service）ソリューションであり、企業向けモバイル管理（EMM）サービスです。 Google Workspace で利用できる ID サービスとエンドポイント管理をスタンドアロン型のサービスとして提供します。 Cloud Identity を利用することで、管理者は Google 管理コンソールからユーザー、アプリ、デバイスを一元管理できます。 [出典] Cloud Identity とは https://support.google.com/cloudidentity/answer/7319251?hl=ja Cloud Identity を使うメリット Cloud Identity は基本的には Google Workspace の機能限定版だと捉えて下さい。 例えば、独自ドメインで Gmail を使いたい場
Terraform で GCP の組織設定・共有 VPC・VPN 作成 - Qiita
内容 これまで GCP を手動構築していた範囲を、Terraform で IaC 化したので、その内容を記載する これまで手動(Webコンソール, gcloud, etc.)でやっていた内容 (Terraform コード化対象) 構築内容 前述の「これまでやっていた内容 (Terraform コード化対象)」のリンク先内容を実施する 内容は下記で、記載済み内容については説明を省略し、追加するものは補足を記載している箇所がある 組織の作成と共有 VPC 構築 ホストプロジェクト作成 サービスプロジェクト作成 共有 VPC Subnet の設定 [追加] 組織のポリシー追加 [追加] 権限の追加 HA VPN 自宅ラボ向けに HA VPN を構築する 自宅ラボ向けに設定Config例を出力する (EdgeRouer向け) VPC Service Controls サービス境界の作成 限定公開
無料で使えるGoogleのIDaaS「Google Cloud Identity Free Edition」を利用してみた | DevelopersIO
無料で使えるGoogleのIDaaS「Google Cloud Identity Free Edition」を利用してみた みなさん、こんにちは！ AWS事業本部の青柳＠福岡オフィスです。 今回は、Googleが提供する IDaaS (Identity as a Service) である Google Cloud Identity を使い始めるまでの流れをご紹介したいと思います。 「Google Cloud Identity」とは Googleが提供するユーザーアカウントのサービスと言えば、真っ先に「Googleアカウント」を思い浮かべる方も多いのではないかと思います。 Googleアカウントと「Google Cloud Identity」は何が違うのでしょうか？ 大きな違いが、Googleアカウントが個人向けのサービスであるのに対して、Google Cloud Identityは組織 (
Google Cloud(旧GCP)利用してみたい！けど最初に対応すべきことは？初期設定のベストプラクティスを解説！ - G-gen Tech Blog
最初に対応すべきチェックリストの確認方法 組織とID ユーザーとグループ 管理者アクセス お支払い リソース階層 リソースのアクセス ネットワーキング モニタリングとロギング セキュリティ サポート こんにちは！G-genの小林です。 みなさんGoogle Cloudはご利用されてますでしょうか？ お客様とお話ししている中でGoogle Cloudを使ってみているけど、最初に何を設定しておくべきなのか分からなくて困っている、という声をよく伺います。 そのため、今回のブログでは、Google Cloudを利用開始したけど、Google Cloudをセキュアに使うためにはどのような対応をすべきなのかについて説明します。 Google Cloudを社内で使ってみようとしているけど必要最低限の設定をした状態でユーザーに使わせたい、本番利用する場合のこれだけは設定しておくべき項目を把握しておきたい、
これをつけとけ！セキュアなIAMポリシー | DevelopersIO
こんちは､テクニカルサポートチームの丸屋 正志です｡ ■ご注意ください このポリシーでは「IAMユーザーと同じ名称でMFA設定を行う場合」のみMFA設定の許可が与えられています。 2022/11よりMFA設定時に任意の名称を指定できるようになっており、上記の名称と異なるMFA名を指定した際にエラーになる場合があります。（上述のセキュアポリシー以外でMFA設定の許可が与えられていればエラーは発生しません。） （参考情報） https://aws.amazon.com/jp/about-aws/whats-new/2022/11/aws-identity-access-management-multi-factor-authentication-devices/ 1. AWSアクセスキーセキュリティ意識向上委員会って何？ 昨今、AWSのアクセスキーを漏洩させてしまうことが原因でアカウントへの侵
AWS MFA 設定で「エンティティは既に存在しています」エラーの解決方法 - Qiita
概要 AWS MFA 設定中に中断した結果「エンティティは既に存在しています」というエラーが発生したときの解決方法をご紹介します。 「エンティティは既に存在しています」エラーの解決手順 list-virtual-mfa-devices で問題の SerialNumber を特定する list-virtual-mfa-devices — AWS CLI Command Reference { "VirtualMFADevices": [ { "SerialNumber": "arn:aws:iam::012345678990:mfa/sample-username" }, { "SerialNumber": "arn:aws:iam::012345678990:mfa/root-account-mfa-device", "User": { "UserId": "012345678990",
IAMユーザにMFA設定を強制するにあたりiam:ListUsersが必須では無くなった話 - サーバーワークスエンジニアブログ
CS課佐竹です。 はじめに 仮想 MFA デバイス、U2Fセキュリティキー 2019年1月までのMFA強制 IAM Policy のベストプラクティス "iam:ListUsers"が問題になるシーン 実際の設定画面を確認する 現在のMFA強制 IAM Policy のベストプラクティス 新しく増えた My Security Credentials (セキュリティ認証情報) ページ 実際の設定画面を確認する DenyAllExceptListedIfNoMFA に iam:DeleteVirtualMFADevice が必要な理由 DenyAllExceptListedIfNoMFA に追加した他のActionについての説明 注意点 まとめ 2022年11月18日 追記（再掲） はじめに 皆様、IAMユーザにMFAを強制されているでしょうか？ MFA とは Multi-Factor Aut
Amazon S3 Object Ownership が利用可能になり、バケットにアップロードされたオブジェクトの所有権をバケット所有者が自動的に引き受けることが可能に
Amazon S3 Object Ownership は、バケット所有者が他の AWS アカウントによってバケットにアップロードされたオブジェクトの所有権を自動的に引き受けることを可能にする新しい S3 機能です。これにより、バケット内の新しいオブジェクトの所有権を標準化し、バケットポリシーやアクセスポイントポリシーなどのリソースベースのポリシーを介して、これらのオブジェクトへのアクセスを大規模に共有および管理できます。S3 バケットが他の AWS アカウントからデータを受信する場合でも、AWS CloudTrail などの AWS のサービスからの出力を保存する場合でも、S3 Object Ownership は、Amazon S3 で共有データセットを作成および維持する作業を簡素化します。 デフォルトでは、S3 オブジェクトは、オブジェクトをアップロードした AWS アカウントによって
特定のリージョンのみのリソース制御するための IAM ポリシー設定 - サーバーワークスエンジニアブログ
9月ですね,多田です. IAM 権限の制御としてリージョンレベルで制御したい要件が出てきたので調べてみたところ, aws:RequestedRegionで制限できるようなので検証した結果をブログにまとめます.なお,今回東京リージョンとソウルリージョンに EC2 を起動している状況で読み取り権限は全リージョン有効ではあるが, EC2 への変更権限や起動,停止といった権限は東京リージョンのみに限定する IAM ポリシーを設定して検証しました. 検証イメージ図 検証した IAM ポリシー 検証で使った IAM ポリシーは以下の通りです.このポリシーを IAM ユーザーに関連づけて東京とソウルの EC2 を起動,停止してみます.期待する結果は 東京リージョンのサーバーは起動と停止はうまくいき,ソウルリージョンのサーバーは停止も起動もできない,です. { "Version": "2012-10-17
Amazon S3 セキュリティベストプラクティスの実践（権限管理のポリシー) – 前編 | Amazon Web Services
Amazon Web Services ブログ Amazon S3 セキュリティベストプラクティスの実践（権限管理のポリシー) – 前編 はじめに AWS では、サービス毎にセキュリティのベストプラクティスを公式ドキュメントとして提供しています。本記事では AWS を利用したシステムのセキュリティの検討や実装に関わる皆様を対象に、AWS の代表的なストレージサービスである Amazon Simple Storage Service (S3) を題材にとりあげて、公式ドキュメントで紹介しているベストプラクティスの実装方法をできるだけ具体的に解説したいと思います。 IT セキュリティにおいては、一つの脆弱性や悪意がセキュリティ事故に直結しないようにシステムを多層的に保護する事が重要です。AWS においても、サービスが提供する機能を適所でご利用いただければ多層化されたセキュリティ保護策を、クラウ
IAM チュートリアル: ユーザーに自分の認証情報および MFA 設定を許可する - AWS Identity and Access Management
ユーザーが [セキュリティ認証情報] ページで自分の多要素認証 (MFA) デバイスと認証情報を管理することを許可できます。AWS Management Console を使用して、認証情報 (アクセスキー、パスワード、デジタル署名用証明書、SSH パブリックキー) を設定したり、不要な認証情報を削除または非アクティブ化したり、ユーザーの MFA デバイスを有効にしたりできます。これは少数のユーザーにとっては便利ですが、ユーザーの数が増えるとすぐに、このタスクは時間がかかるようになる可能性があります。このチュートリアルでは、このようなベストプラクティスを管理者に負担を与えずに実現する方法を説明します。 このチュートリアルでは、AWS サービスへのアクセスをユーザーに許可する方法を示します。ただし、ユーザーが MFA を使用してサインインした場合に限ります。MFA デバイスでサインインしてい
AWS Organizationsから新規AWSアカウントを作成してスイッチロールしてみた | DevelopersIO
こんにちは、臼田です。 みなさん、アカウント管理してますか？(挨拶 今回はAWS Organizationsを利用して新規のAWSアカウントを作成してみました。ついでにスイッチロールでアクセスしてみます。 AWS Organizationsとは AWS Organizationsは複数のAWSアカウントをまとめて管理する事ができる便利な機能です。 主に請求をまとめたり、アカウントを跨いでSCP(サービスコントロールポリシー)で権限管理を行うなどガバナンスを効かせたりすることができます。 Organizationsでは組織という単位を作成してその中にアカウントを持ちます。 組織にアカウントを追加する方法は、既存のアカウントを招待する方法と、新規アカウントをOrganizationsから作成する方法があります。 今回はOrganizationsから作成してみます。 AWS Organizati
[アップデート]新IAM Policy Condition aws:CalledVia を学ぶ | DevelopersIO
IAM PolicyのConditionにaws:CalledViaというキーが追加されました。どういったキーなのかご説明します。 一言でいうと 「特定のサービス経由で実行している/いない」という権限付与の条件が設定可能になりました。 具体例を出して説明します。 これまで: aws:CalledViaが無い世界 CloudFormation（以下CFn）を使って、VPCを作成したいとします。 CFnテンプレートは至極シンプルです。 AWSTemplateFormatVersion: "2010-09-09" Description: Create VPC Resources: VPC: Type: AWS::EC2::VPC Properties: CidrBlock: "192.168.0.0/16" EnableDnsSupport: "true" EnableDnsHostnames
![[アップデート]新IAM Policy Condition aws:CalledVia を学ぶ | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/be87d4dc194a448afd90d0a4b97626b36839fd3a/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F05%2Faws-iam.png)
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
アマゾン ウェブ サービス（AWS）クラウド アプリケーション - Cloud Identity ヘルプ
2019-11-09 AWS IAM 〜 設計上の戦略と戦術 — OpsLab
AWS IAM 〜 設計上の戦略と戦術 / 20191109-kof-iam
