GetFederationToken は AssumeRole や GetSessionToken と何が違うのか | DevelopersIO
sts:GetFederationToken が好きです。でも sts:AssumeRole はもっと好きです。 コンバンハ、AssumeRole 大好きおじさんです。 AssumeRole とは、IAM ユーザーや AWS サービスといったエンティティが IAM ロールを引き受けるアクションを指します。引き受けた後は「IAM ロールを引き受けたセッション」がプリンシパルとなりアクションを実行します。 IAM ロール自身ではなくそれを引き受けたセッションが実行元である、という部分にえもいわれぬ浪漫を感じますね。このようなプリンシパルはセッションプリンシパルと呼ばれることもあります。 そしてセッションプリンシパルと呼ばれるのは「IAM ロールを引き受けたセッション」だけではありません。GetFederationToken によるフェデレーテッドユーザーもセッションプリンシパルのひとつです。
Assumed-role セッションプリンシパルのサービス名前空間を iam にしたが そっと sts に書き換えられた | DevelopersIO
arn:${Partition}:iam::${Account}:assumed-role/${RoleName}/${RoleSessionName} なんてあるのか？ コンバンハ、千葉（幸）です。 突然ですがわたしは AssumeRole （IAM ロールを引き受ける）が好きです。AssumeRole するさまを「お面を被る」と表現するのが好きです。 ▲ お面を被って力を得ている図 IAM ユーザーが別の AWS アカウントにある IAM ロールを引き受けるケースを考えると、それぞれの ARN は以下の通りです。 arn:aws:iam::999999999999:user/ユーザー名 arn:aws:iam::000000000000:role/ロール名 arn:aws:sts::000000000000:assumed-role/ロール名/セッション名 3つ目の 「IAM ロールを
AWS CLIがAssumeRoleする際のセッション名を指定する | DevelopersIO
こんにちは。サービスグループの武田です。 AWS CLIは好きですか？（挨拶） AWSの操作はマネジメントコンソールを利用してぽちぽちする方法も楽ですが、自動化などしたい場合にはAWS CLIも便利です。またAWS CLIにはプロファイルにIAMロールを設定しておくだけで自動的にAssumeRole（スイッチロール）してコマンドを実行してくれる機能もあります。 さてAssumeRoleをして一時的なクレデンシャルを取得する際にはセッション名の指定が必要です。次のようにassume-roleコマンドのリファレンスでも--role-session-nameが必須パラメーターとなっています。 assume-role --role-arn <value> --role-session-name <value> AWS CLIがプロファイルの設定から自動的にAssumeRoleする際には、セッション
STSの一時的な認証情報取得APIコールについてまとめてみる - サーバーワークスエンジニアブログ
こんにちは。 Develop Associateの勉強をして、STSを使った一時的なセキュリティ認証情報取得のAPIコールがよくわからんってなったのでまとめてみました。 なるべく図を多めに解説していくので、技術職でない方もぜひ読んでみてください！ 記事目安 -15分 事前知識 一時的なセキュリティ認証情報セット 信頼関係 一時的なセキュリティ認証情報セットを取得するAPIコール 背景 GetSessionToken AssumeRole GetFederationToken AssumeRoleWithWebIdentity AssumeRoleWithSAML 確認 まとめ 事前知識 本題に入る前に必要な知識を説明します。 一時的なセキュリティ認証情報セット AWSリソースへのアクセスに必要な情報のセット。STSがユーザからのリクエストに対して発行します。 実態は以下。 アクセスキー(ア
SAML Trace の実行方法
ブラウザーのプラグインを使用して SAML Trace を実行し、SAML Trace の JSON ファイルを生成する方法について説明します。アドビのカスタマーサポートスタッフは、このファイルを使用して、ID プロバイダーとアドビの間で発生する SAML アサーションを追跡し、ログインの問題のトラブルシューティングを行います。
AWS SSOを利用してAzure ADのユーザ情報でAWSアカウントへのサインインを試してみる | DevelopersIO
Azure AD のエンタープライズアプリケーションに AWS SSO と連携するためのギャラリーが追加されていたため、Azure AD のユーザ情報を用いて AWS マネジメントコンソールにサインインする環境の構築を試してみました。 Azure AD のユーザ情報を用いて AWS マネジメントコンソールにサインインする方法はいくつかありますが、本ブログでは AWS SSO を用いて AWS アカウントへのアクセス権を管理している環境において、AWS SSO と Azure AD を SAML により連携する方法を紹介します。 2023.3.21 追記 AWS IAM Identity Center 版を新しく書きました。 構成と全体の流れ 設定する構成と作業の流れを示します。 ユーザ/グループの属性情報の同期は SCIM による自動同期を採用しています。 構成図 全体の流れ SAML の
AWS SSO と Google Workspace を連携する - Qiita
この記事の内容 AWS SSO と Google Workspace を連携する方法の記事です。 なんで書いたか 個人的な思いとして AWS SSO がとても便利で有益だったので利用への障壁を少しでも低くできたらと思い書きました。 AWS SSO と G Suite との連携記事はよく見かけるが Google Workspace との連携の記事をあまり見かけなかったので残そうと思いました。 AWS SSO はかなり便利なサービスで、AWS アカウントを Organizations で複数管理している場合かなり運用が容易になる可能性があります。 今回は Google Workspace との連携に関する事のみを記載しています。 外部 Idp で会社のメンバーアカウントを管理していて AWS アカウントを Organizations で複数管理している場合、かなり運用が容易になる可能性がありま
AWSのSAML認証でaws cliにログインする方法 - Qiita
はいさい！ちゅらデータぬオースティンやいびーん！ 概要 AWSのFederated Userシステム、SAML認証でログインした時に、aws cliにもその認証情報を反映させる方法を紹介します。 参考にした情報 SAMLResponseを取得する まず、読者さんのAWS・SAMLログイン画面を開いてください。 筆者の場合、Googleアカウントを使用しておりますので、以下のような画面になります。 そこで以下の順番を踏まえてログインします。 Chrome Dev Toolsを開く Networkのタブを開く Preserve Logにチェックを入れる AWSアカウントを選択する 「サインイン」をクリック Chrome Dev ToolsのNetworkタブの履歴の「Name」縦列に、samlのリクエストをクリックする METHODがPOSTであること、Statusが302であることを確認。
SAML Federated User で AWS CLI を使用するための便利スクリプト - Qiita
AWS マネジメントコンソールを SAML フェデレーションによる SSO で利用している場合、その権限で AWS CLI を利用するのは簡単ではない。 そもそも Role が一時的に割り当てられているだけであって IAM User を作成しているわけではないので Credentials を作成することができない。AWS CLI を利用するためには AssumeRoleWithSAML という API を使って一時的な Credentials を都度要求しなければならない。 詳しいことは以下に書いた。 SAML 認証による一時的な認証情報で boto3 を利用する - Qiita 上記は Python でやる場合の話だったが、今回は同じことを Bash でやれるようにスクリプトを書いたのでそれについてメモしておく。 #!/bin/bash -eu if !(type "aws" > /de
AssumeRoleWithSAMLを利用してAPI用の一時クレデンシャルを取得する方法 | DevelopersIO
西澤です。ADFSサーバを利用したAWSマネージメントコンソールへのSSOについて以前に書きましたが、APIを利用する方法が整理できていないことが課題となっていました。SAMLを利用したAPI認証の方法については藤本さんが詳しく書いてくれています。 Active Directory資産を活用したAWS API認証 ｜ Developers.IO この方法は理解の為には良いのですが、そのまま運用で使うにはやや手順が複雑な印象を受けたので、これをもう少し簡単に利用する方法がないかとさらに情報を漁ってみたところ、公式ブログでツールとその利用手順が紹介されていました。今回はこちらを試してみたいと思います。 How to Implement Federated API and CLI Access Using SAML 2.0 and AD FS - AWS Security Blog How to
GitHub Actionsに「強い」AWSの権限を渡したい ~作戦3 - AssumeRole with Google ID Token ~ - KAYAC engineers' blog
こんにちは。技術部の池田です。 この記事では、Github Actions上に「強い」AWSの権限を渡すために以下のことを行います。 App Runnerでお手軽にGoogle ID Token 取得するためのWeb Applicationを動かす。 Web Applicationから取得できるGoogle ID Tokenを信頼するIAM RoleにAssumeRoleする。 AssumeRoleによって得られた一時的な強い権限で、強い権限を要求する作業(Deploy, Terraform Apply)をGithub Actionsで行う。 これにより、Github Actions上にAWSのアクセスキーを置かずに、ある程度安全な方法でAWS上での強い権限を要求する操作を実行できます。 そのため、例えばGithub Repositoryに不正アクセスされてしまったとしても、AWSの本番環
RURUK BLOG
AssumeRoleを連続でスイッチし、同じコマンドをひたすら実行する際、コマンドごとにMFA認証が行われてとても面倒でした。 そこで認証をスキップする方法を探したものの、なかなか良い解決策が見つからず苦戦したためメモ書きします。 以下のようにコマンドごとにMFA認証が行われるのを回避するが本記事の目的です。 aws s3 ls --profile target-assume-1 --no-cli-pager Enter MFA code for arn:aws:iam::111111111111:mfa/<user_name>: #--- コマンド実行結果 ---# aws s3 ls --profile target-assume-2 --no-cli-pager Enter MFA code for arn:aws:iam::111111111111:mfa/<user_name>:
スイッチロールしたAWSコンソールのセッション時間を1hよりも長くできるようになったので、スイッチロールの有効期限をおさらいする | DevelopersIO
西澤です。ついにAWS Management Consoleでスイッチロールしたときのセッション時間を12時間まで伸ばせるようになりました。このアップデートを通じてスイッチロールの有効期限について改めて整理してみようと思いました。 Now gain longer access to your AWS resources when switching roles in the AWS Management Console スイッチロールとはなんなのか？ スイッチロールという表現はAWS公式ページでも数多く登場しますし、CloudTrailのイベント名にも出てきますが、原則としてはAWS Management Console上でのGUI操作により特定のIAMロール権限に遷移する操作のことを指していると理解しています。ちなみにSwitchRoleというAPIは存在しません。ただ今回の記事では、I
aws-cli-oidcで一時的なAWSアクセスキーを使う - Qiita
昨年のAdvent Calendarで書きました「KeycloakのToken Exchangeを活用した一時的なAWSアクセスキーの発行 」の続編ネタです。この中で紹介した aws-cli-oidc というCLIツールの便利な使い方を紹介します。 aws-cli-oidcとは AWS管理コンソールへのログインを、Keycloakなどの外部IdPとSAMLまたはOIDCで連携させている場合に、aws-cli などのAWS向け各種CLIツールで利用可能な一時的なアクセスキーを取得してくれるちょっとしたCLIツールです。このツールの目的や説明は昨年の記事を読んでいただければと思いますが、この手の他のツールと異なり、利用者のクレデンシャルを本ツールに渡さずにアクセスキーを発行できるところがポイントです。AWSと外部IdP間のフェデレーションには、OIDCまたはSAML 2.0が利用できますがその
【小ネタ】複数のSwitch Roleでのクロスアカウントアクセスをブラウザのブックマークで管理する | DevelopersIO
こんにちは、せーのです。今日はSwitch Roleに関するちょっとした小ネタをお話します。AWSを業務で複数やられている方には便利かと思います。 Switch Roleってなんだっけ Switch Roleとは複数のAWSアカウントを持っている時にいちいちログアウト - ログインを繰り返さなくてもRoleを設定しておくだけで簡単に別のアカウントにスイッチできる機能です。これは複数のアカウントを管理する方にはとっても便利な機能なんです！詳しくはこちらの記事をご覧ください。 【新機能】IAMユーザーをManagement Consoleからクロスアカウントで色々なRoleにスイッチする事ができるようになりました。 で、今回はこの機能をより使いやすくする方法です。 Switch Roleのちょっとした罠 Switch Roleをすると[History Role]というところにスイッチをした履歴
AWS CLI を使用して SAML 認証情報の呼び出しおよび保存を行う
AWS コマンドラインインターフェイス (AWS CLI) を使用して、AssumeRoleWithSAML、AssumeRole、および AssumeRoleWithWebIdentity オペレーションから認証情報を取得したいと考えています。 解決方法 AssumeRoleWithSAML、AssumeRole、AssumeRoleWithWebIdentity から認証情報を取得するには、次の手順を実行して API を呼び出し、出力をテキストファイルに保存します。次に、その出力を使用して AWS CLI で API コマンドを呼び出します。 重要: AWS CLI コマンドの実行時にエラーが発生した場合は、AWS CLI の最新バージョンを使用していることを確認してください。 role-arn および role-session-name のパラメータは必須です。 AssumeRole
Amazon S3 Object Ownership が利用可能になり、バケットにアップロードされたオブジェクトの所有権をバケット所有者が自動的に引き受けることが可能に
Amazon S3 Object Ownership は、バケット所有者が他の AWS アカウントによってバケットにアップロードされたオブジェクトの所有権を自動的に引き受けることを可能にする新しい S3 機能です。これにより、バケット内の新しいオブジェクトの所有権を標準化し、バケットポリシーやアクセスポイントポリシーなどのリソースベースのポリシーを介して、これらのオブジェクトへのアクセスを大規模に共有および管理できます。S3 バケットが他の AWS アカウントからデータを受信する場合でも、AWS CloudTrail などの AWS のサービスからの出力を保存する場合でも、S3 Object Ownership は、Amazon S3 で共有データセットを作成および維持する作業を簡素化します。 デフォルトでは、S3 オブジェクトは、オブジェクトをアップロードした AWS アカウントによって
Boto3を使ってプライベートサブネットのEC2からクロスアカウントのS3にアップロードしてみた | DevelopersIO
プライベートサブネットに立ち上げたEC2から異なるAWSアカウントのS3にクロスアカウントでファイルをアップロードしてみたので紹介します。 こんにちは、ニシヤマです。はいマスキュラー。 プライベートサブネットにあるEC2からVPC Endpoint経由で異なるAWSアカウントのS3にファイルアップロードする環境を構築してみたので紹介します。 気をつける点としては、クロスアカウント環境で適切に設定しないでS3へファイルアップロードを行うと、アップしたファイルで権限エラーが発生してしまうので今回はそれを考慮しながらプログラムから実施しています。 イメージ 説明が長くなってしまいましたが図にするとこんな感じになります。ゴチャッとしてます。 S3バケットのあるアカウントをアカウントA、ファイルアップロードするEC2のあるアカウントをアカウントBとします。アカウントBのEC2→アカウントAのS3バケ
IAM Roleを理解する - サーバーワークスエンジニアブログ
技術四課の鎌田(裕)です。 AWSの中で、IAM(Identity and Access Management)といえば、マネジメントコンソールにログインする時に使われるサービス、各種AWSのサービスの設定、変更などの権限管理に使われるサービス、という概要は皆さんご存知だと思います。 IAM User, IAM Group, IAM Policy。どれも、分かり易い概念ですね。 では、IAMの中にあるIAM Roleについて、皆さんは一言で説明できるでしょうか？難しいと感じる方が多いでしょう。 このブログでは、IAM Roleについて、解説をしたいと思います。 IAM Roleは、IAM User・IAM Groupとはそもそも異なる存在 IAM Roleを使う一般的なケースは、EC2インスタンスやLambdaに対してIAM Roleを割り当て、EC2インスタンスやLambdaから、Dyn
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
AWS CognitoとOAuth2.0/OpenIDConnectの連携方法・ユースケースを紹介！外部認証プロバイダーを使用したAWS Cognito構築を検討している方は必見です😎 | Ragate ブログ