terraformからroleにpolicyをattachするときの話 - Qiita
概要 terraformにおけるaws_iam_policyとaws_iam_role_policyの違いについて aws_iam_policyで生成したpolicyをattachする(aws_iam_policy_attachment)方が良さそう はじめに 今年の4月ごろにAWSのアカウントを作ってから、LambdaやKMSやEC2に触れてきました。 SAMを用いるとlocalでテストもしやすくて便利なので、使っていたのですが、 deployする先はcloud formationであり、cloud formationでできることはterraformでもできる場合があるという話になり、 terraformから触ってみた時にpolicy周りで混乱した話です。 詳細 policyを定義して、roleにattachするときのことです。 まずは aws_iam_policy_document で
TerraformでIAMポリシーのJSONに変数を埋めたい場合はaws_iam_policy_documentを使う - Qiita
TL;DR TerraformでIAMポリシーのJSONに変数を埋めたい場合はaws_iam_policy_documentを使えばよい サンプルコードはTerraformでKMSキー作った時に、アクセス権限の管理をIAMグループで管理する例 aws_iam_policy_documentのドキュメントはこちら => AWS_IAM_POLICY_DOCUMENT サンプル KMSのキーARNを変数参照で埋め込んだIAMポリシー作って適当なIAMユーザ/グループ/ロールに付与するtfファイルこんなかんじ data "aws_iam_policy_document" "kms_hoge" { statement { sid = "AllowUseOfTheKey" actions = [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms
AWS Security Token Service (AWS STS) - Qiita
AWS Security Token Service (AWS STS) とは STSはAWS Security Token Serviceの略である。 AWS リソースへのアクセスをコントロールできる一時的セキュリティ認証情報を持つ、信頼されたユーザーを作成および提供することができます。 つまり以下ができるようになる。 ユーザーに対して AWS ID を定義せずに AWS リソースへのアクセスを許可できる これによりIDフェデレーションが可能となる。 ※IDフェデレーションの概要 IDフェデレーションは、それぞれ独自のID管理システムを持つ複数のセキュリティドメイン間で、それぞれのユーザーIDをリンクさせる。2つのドメインでIDフェデレーションを実現すると、一方のドメインで認証を受けたエンドユーザーは、他方のドメインでもログインしないでそのリソースにアクセスできる。 一時的な認証情報の一
Swith Roleで複数のAWSアカウント間を切替える - Qiita
通常の複数のAWSアカウントの管理方法 課題 同一のシステムのランドスケープを複数のAWSアカウントに分けているような場合、IAMユーザーを別々に発行してログイン、ログアウトして環境を切り替えるのは面倒です。 Switch Role方式 「IAMユーザーは1つのアカウントだけで発行」し、スイッチ先では「信頼するAWSアカウントの特定のユーザーに付与してよいIAM Roleを発行」することで、一つの入り口から複数の環境に切り替えて操作が可能です。 やってみよう Let's do it! それでは上記の「Switch Role方式」の図にある構成を用いて、実際に設定してみましょう。 1. スイッチ先でロールを作成する まずはスイッチ先である本番アカウント側で、スイッチ元に権限移譲するロールを作成します。 IAM画面に移動し、左のロールのペインからロールの作成を押下して進めていきます。 1-1.
AWSで特定のVPC下での操作の許可するIAM Policy - Qiita
主に誤操作防止用に。 注意 RDSのはIAM Policy Simulatorでは通るにも関わらず、何故かManaged Policyにすると動かないという謎の挙動。Inline Policyだと動く。バグ？（2015/7/3現在） EC2 起動はvpc-abcd1234でVPC IDを指定して限定可能 停止等はec2:Vpcのresource level permissionが使えないので Vpc: myvpc等のタグで限定（ec2:CreateTagsはそもそも制限不可能なのであまり厳密ではないが） { "Version": "2012-10-17", "Statement": [ { "Sid": "UnsupportedResourceLevelPermissions", "Effect": "Allow", "Action": [ "ec2:Describe*", "ec2:*T
AWS CDKでIAMのインラインポリシーとサービスロールを作る - Qiita
だいたいこんな感じになる。 ステートメントをメソッドチェーンでビルダー的に書けるので、この書き方に慣れさえすれば普通に書くより楽かもしれない。 import cdk = require('@aws-cdk/cdk'); import IAM = require('@aws-cdk/aws-iam') const app = new cdk.App(); const stack = new cdk.Stack(app, 'TestStack'); const statement = new IAM.PolicyStatement() .allow() .addActions( "dynamodb:GetItem", "dynamodb:Query", ) .addResources( "*" ) const servicePolicy = new IAM.Policy( stack, 'Ap
AWS CDKとGithub ActionsでIAMユーザーを管理してみた【CI/CD】 - Qiita
TL;DR 先日こちらの記事で書いたものの続きと言いますか、運用に導入してみたのでそのお話です。 今まではIAMユーザー作成に関してTerraformで管理をしていたのですが、新しいアカウントができたのでタイミング的にちょうどいいこともありCDKでIAMユーザーの管理をしてみようと思いました。 またデプロイに関しては、Github Actionsを利用することにしました。 AWS CDKの実装やGithub Actionsに至った理由などをお伝えしていきたいと思います。 IAM管理リソース 現在Terraformで管理されているIAM周りのリソースに関して、至ってシンプルなものです。 IAMユーザー IAMロール IAMポリシー アカウントパスワードポリシー なんの変哲も無い構成だと思います。 ちなみに既存のTerraformはこんな感じになっています。 $ tree . ├── READ
aws-vault についてのあれこれ - Qiita
クラウドワークス SREチームの @kangaechu です。アンタッチャブルのコンビ復活に目が離せないこの頃です。 クラウドワークス Advent Calendar 2019の4日目として、最近SREチーム内で使われるようになったツール、 aws-vault を紹介します。 背景 aws-vaultの話をする前に、少しだけAssumeRoleの話をします。 AssumeRole assumeは引き受けるなどの意味を持つ単語で、AWSを使用するユーザやリソースが本来持っている権限とは別の権限を引き受けることができるしくみです。ものすごいざっくりいうと、sudoコマンドのような感じです。AssumeRoleはどのようなときに便利なのでしょうか。 マルチアカウントでのIAMユーザ集約管理 リソースの分離や課金管理などを目的として、最近はAWS Organizationsを使用したマルチアカウン
Amazon Elasticsearch Service の IAM User/Role アクセス制御に対応する(Ruby 版) - Qiita
はじめに: Amazon ES のアクセス制御 Amazon Elasticsearch Service (以降 Amazon ES) は VPC に対応していないため、アクセス制御を設定しないと誰からでもアクセスが可能な状態になってしまいます。Amazon ES のアクセス制御は AWS ユーザ・IAM User/Role・IP アドレス等に対して設定できます。Auto Scaling させている EC2 のアプリケーションサーバから Amazon ES にアクセスするようなケースでは都度 IP を設定するのも困難なため、各 EC2 インスタンスに設定した IAM Role による制御を用いることになります。 課題: AWS 署名付きリクエスト AWS でアクセス制御している API (今回の場合、Amazon ES の API)にリクエストを投げるには、アクセスを許可されたリソースの
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
