[B! iam] kma83のブックマーク

AWS IAM ベストプラクティスのご紹介 – AWSアカウントの不正利用を防ぐために | Amazon Web Services

Amazon Web Services ブログ AWS IAM ベストプラクティスのご紹介 – AWSアカウントの不正利用を防ぐためにみなさん、こんにちわ。アマゾンウェブサービスジャパン株式会社、プロダクトマーケティングエバンジェリストの亀田です。今日は皆さんが普段ご利用のAWSアカウントに対する不正アクセスを防ぐベストプラクティスと言われる運用におけるガイドラインや設定項目の推奨等についてご紹介します。 AWS Identity and Access Management (IAM) は、AWS リソースへのアクセスを安全に制御するためのウェブサービスであり、AWSマネージメントコンソールへのログインに用いるユーザーやAWSリソースへのアクセスに用いるAPIアクセスのキーの管理等に使用されます。マネージメントコンソールへのログインを行う管理用ユーザーを発行する機能が含まれる

kma83 2018/06/22

aws
iam

リンク

HIGOBASHI.AWS 第2回 AWSごった煮編で「わかりづらいS3クロスアカウントアクセスに立ち向かう」を話しました #cm_osaka | DevelopersIO

ご機嫌いかがでしょうか、豊崎です。大阪オフィスからお届けしております。今回、HIGOBASHI.AWS 第2回 AWSごった煮編で「わかりづらいS3クロスアカウントアクセスに立ち向かう」をお話しさせていただきました。 HIGOBASHI.AWSとは肥後橋（大阪）界隈で開催する、AWSの勉強会コミュニティです。登壇者と参加者がディスカッションしながら進行していきます。前のめりな気持ちで、お気軽にご参加ください。大好評の第1回目に続き、AWSを掘り下げて学べるお薦めの勉強会です。皆様の参加を心よりお待ちしています！登壇資料

kma83 2018/03/27

リンク

Step 2: Create an IAM role for AWS Glue - AWS Glue

kma83 2018/03/06

awsglue
iam

リンク

IAM の一時的な認証情報 - AWS Identity and Access Management

AWS Security Token Service (AWS STS) を使用して、AWS リソースへのアクセスをコントロールできる一時的セキュリティ認証情報を持つ、信頼されたユーザーを作成および提供することができます。一時的セキュリティ認証情報の機能は、長期的なアクセスキー認証情報とほとんど同じですが、次の相違点があります。一時的セキュリティ認証情報は、その名前が示すとおり、使用期限が短くなっています。有効期限は数分から数時間に設定できます。認証情報が失効すると、AWS はそれらを認識しなくなります。また、その認証情報によって作成された API リクエストによるあらゆるタイプのアクセスが許可されなくなります。一時的セキュリティ認証情報はユーザーとともに保存されることはなく、ユーザーのリクエストに応じて動的に生成され、提供されます。一時的セキュリティ認証情報が失効すると（または失効す

kma83 2018/01/19

リンク

IAM チュートリアル: AWS アカウント間の IAM ロールを使用したアクセスの委任 - AWS Identity and Access Management

このチュートリアルでは、ロールを使用して、お客様が所有する作成および開発という異なる AWS アカウントのリソースへのアクセスを委任する方法について説明します。特定のアカウントにあるリソースを別のアカウントのユーザーと共有します。このようにクロスアカウントアクセスを設定することで、お客様はアカウントごとに IAM ユーザーを作成する必要がなくなります。また、ユーザーは、異なる AWS アカウントのアカウントのリソースにアクセスするために、あるアカウントからサインアウトして別のアカウントにサインインする必要がなくなります。ロールを設定した後、AWS Management Console、AWS CLI、API からロールを使用する方法について説明します。 IAM ロールとリソースベースのポリシーは、単一のパーティション内のアカウント間でのみアクセスを委任します。たとえば、標準 aws パ

kma83 2018/01/18

クロスアカウントアクセス制御

aws
iam

リンク

俺のチュートリアル 2017 夏〜チュートリアルで学ぶ IAM Role によるクロスアカウントアクセス〜 | iret.media

以下の Trust relationships を適用して IAM Role の role-01 を作成する。 $ cat role-01.json { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::xxxxxxxx0002:role/role-02" }, "Action": "sts:AssumeRole" } ] } $ aws \ --profile ${Account xxxx-xxxx-0001 の PROFILE} \ iam create-role \ --role-name role-01 \ --assume-role-policy-document file://role-01.json \ --query Role.Ar

kma83 2018/01/18

クロスアカウントアクセス

aws
iam

リンク

AWS IAMポリシーを理解する | DevelopersIO

はじめにこんにちは、川原です。 AWSのIAMサービスでは、各AWSサービスへの操作をアクセス制御するために「ポリシー」という概念があります。 AWSのドキュメントを読んでいると、ポリシーにはいくつか種類があることに気付くかと思います。本ブログではそれらのポリシーについて整理してみたいと思います。ポリシーの基本ポリシーは基本的に、「誰が」「どのAWSサービスの」「どのリソースに対して」「どんな操作を」「許可する(許可しない)」、といったことをJSON形式で記述します。記述したポリシーをユーザー(IAMユーザー、IAMグループ、IAMロール)や、AWSリソースに関連づけることで、アクセス制御を実現しています。例えば、以下のJSONはAWS側で用意しているAmazonS3ReadOnlyAccessという名前のポリシーです(後述するユーザーベースポリシーのAWS管理ポリシーに該当)。

kma83 2018/01/18

信頼ポリシーの説明

aws
iam

リンク

[AWS]管理ポリシーとインラインポリシーの違いが分からなかったので改めてIAMポリシーのお勉強をする - Qiita

3年越しの加筆このqiitaの記事を書いたのは2017年ですが、その内容を取り込んで、2020年に以下の記事を書きました。 [IAMポリシーの管理画面で出てくる「AWS管理のジョブ機能」って何?｜クラスメソッドブログ] https://dev.classmethod.jp/cloud/aws/iam-job-function/#toc-iam1 併せてお読みいただけると、より理解が深まるかと思います。はじめにこれまで私がIAMユーザーへ「ポリシー」を付与する際には、下記の一辺倒でしか闘ってきませんでした。 IAMグループに「ポリシー」をアタッチする IAMグループにIAMユーザーを追加するポリシーの種類を深く考えることがなかったので、おさらいも兼ねて整理していきます。 0.IDベースかリソースベースかいきなり少し脱線します。 AWSにおけるアクセス権限を付与する方法は2種類あり

kma83 2018/01/18

aws
iam

リンク

EC2にIAMRole情報を渡すインスタンスプロファイルを知っていますか？ | DevelopersIO

ご機嫌いかがでしょうか、豊崎です。 AWSマネジメントコンソール（以降、AMC）から利用していると気づかない、インスタンスプロファイルについて調べましたので、書いていきたいと思います。インスタンスプロファイルってなに？インスタンスプロファイルは IAM ロールのコンテナであり、インスタンスの起動時に EC2 インスタンスにロール情報を渡すために使用できます。参考URL http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_roles_use_switch-role-ec2_instance-profiles.html 書いてある通り、IAMRoleを納めるための容器であり、EC2にアタッチする時に必要なコネクターの役割をします。なぜインスタンスプロファイルを意識しないのか？ EC2に対してAWSリソースへの操作権限を与え