AWS IAMリソースの棚卸し方法をまとめてみた | DevelopersIO
こんにちは、AWS事業本部@福岡オフィスのべこみん(@beco_minn)です。 皆さんは定期的にIAMリソースの棚卸しや管理をしていますか？いつの間にか溜まっちゃってる不要なIAMユーザーやIAMポリシーは無いですか？ 不要なIAMリソースを放置することはセキュリティ的に危険です。不要なものは定期的に削除しちゃいましょう。 そこで今回は不要なIAMリソースを少しでも楽に棚卸しする方法をまとめてみました。下記ターゲットに当てはまる方は是非ご一読ください。 本記事のターゲット IAMリソースを管理していない方/出来ていない方 IAMリソースの棚卸しをマネジメントコンソール上から手動でポチポチやって時間がかかっている方 やりたいこと あまり時間をかけずにIAMリソースの棚卸しをしたい 普段使っていないIAMリソースや新規作成したIAMリソースを定期的に確認したい やってみた 今回は以下の3つの
VPCの変更系APIを洗い出してCIDR周りの変更をSCPで止めたいなって思ったときに権限を洗い出す手法 | DevelopersIO
こんにちは、臼田です。 みなさん、IAM書いてますか？(挨拶 今回はちょっと調べ物をした際に良さそうなIAM権限確認方法を見つけた(半分教えてもらった)のでそれと、実際に洗い出したVPCの変更権限を紹介します。 背景 「VPCのIPアドレス(CIDR)周りの変更をさせたくないです」という要望をもらいました。 具体的にはAWS Organizationsを利用していて、一度管理側で払い出したVPCに対して、CIDR周りの操作を利用者にさせたくない、という感じです。 払い出しの作業と利用する時のOUが別なので、SCPでVPCの変更系をブロックしよう、という設計方針になりました。 さて、問題は権限の洗い出しです。 変更権限の洗い出し 僕は経験上知っています。 IAMポリシーの設定画面に行くと、かんたんに変更系の権限を洗い出すことができます。何ならそのままいっぺんに選択してポリシードキュメントの作
Amazon EC2で条件キーが指定できるIAMポリシーのアクションを教えて下さい。 | DevelopersIO
困っていた内容 Amazon EC2 の IAM ポリシーのアクションで指定された条件キーにのみアクセスを許可するポリシーを設定したいのですが、可能でしょうか。 可能な場合、IAM ポリシーのアクションを教えて下さい。 Amazon EC2 アクションに条件キーは指定可能？ Amazon EC2 の ec2:Describe* のアクションでは、 リソースレベルのアクセス許可をサポートされていないので、指定された条件キーを指定できません。 なお、ec2:Describe* のアクションにて条件キーの指定はできませんが、 他の一部の Amazon EC2 のアクションではリソースレベルのアクセス許可しており、条件キーを指定できます。 Amazon EC2 の条件キーを指定できるアクションにつきましては、Amazon EC2 で定義されるアクションに記載されている表をご参照下さい。 検索方法
特定セキュリティグループのみ EC2インスタンスへ関連付けできるように制限する IAMポリシー | DevelopersIO
上の表の 条件#1は "aws:ResourceTag/AdminManaged": true 部分 条件#2 は "aws:RequestTag/AdminManaged": false 部分を表しています。 最終的に各条件の AND が計算されます。 結果として「AdminManaged タグが付与されていないセキュリティグループ」に対して 「AdminManaged タグ を追加」できなくなります。 (参考) 本IAMポリシーで説明した Null や Conditionの評価ロジックについては以下参考になります。 【小ネタ】 AWS IAMポリシーの Conditionで使える条件演算子 “Null” の使いみちを考える | DevelopersIO 複数のキーまたは値による条件の作成 - AWS Identity and Access Management 試してみる 以下 権限を
[AWS]指定するタグの有無によってEC2 起動を制限したい | DevelopersIO
困っていた内容 EC2 起動時に、指定するタグの要件に従って起動を制限したいのですが、どのように IAMポリシーを指定すればよいでしょうか。 具体的な要件は以下です。 起動許可 1 期待するタグがある （Name：instance1, Environment：ABC 2 上記に加え、任意のタグがある（Name：instance1, Environment：ABC, myTag：hoge 起動制限 3 タグなし 4 期待するタグがすべてない（myTag：hoge 5 期待するタグが一部無い（Name：instance1 6 期待するタグの値が未入力（Name：, Environment：ABC AWS ナレッジセンターを確認したのですがうまくいきませんでした。 IAM ポリシータグを使用して EC2 インスタンスまたは EBS ボリュームの作成方法を制限するにはどうすればよいですか? どう対
システム開発プロジェクトにおけるIAMポリシー権限はどうしたらいいですか | DevelopersIO
アプリチーム アプリチームには広めの権限を与えます。 使うリソースごとの FullAccess を付与することもありです。 AWS CDK や Serverless Framework 等を使う場合は AdminstratorAccess を求められるかもしれませんが、円滑なアプリ開発のために許容しましょう。 強い権限を直接付与することに抵抗がある場合は、Cloud9 を活用します。 Cloud9 でインスタンスプロファイルをアタッチすることでアプリ開発者に直接強い権限を付与しなくて済みます。 【レポート】AWS Cloud9 の紹介 #reinvent #DEV320 Calling AWS services from an environment in AWS Cloud9 AdminstratorAccess を与える場合でも、Permissions Boundary を正しく設定し
IAM ポリシーで特定条件のアクセス制限をかけつつ、AWS サービスのアクセスは許可したいときの対処方法 | DevelopersIO
困っていた内容 IAM ポリシーの条件で "aws:SourceIp" を指定し、IP 制限をかけました。その後、CloudFormation など AWS サービスがユーザーに代わって AWS 環境を操作するサービスで、IP 制限によるエラーが出ました。 アクセス元（ソース）IP の制限は残しつつ、AWS サービスが AWS リソースへアクセスすることを許可するには、どう対応すればいいでしょうか？ どう対応すればいいの？ IAM ポリシーで "aws:SrouceIp" を指定する "Condition" ブロック内に、以下のポリシーを追加することで、サービス利用者のアクセスは特定の IP アドレスでアクセス制限をかけつつ、AWS サービスのアクセスは許可することができます。 { "Bool": {"aws:ViaAWSService": "false"} } "aws:ViaAWSSe
IAM ポリシーで新規 IAM ユーザーがマネジメントコンソールへアクセスするのを防ぐための対処方法 | DevelopersIO
困っていた内容 IAM ポリシーで IAM ユーザー作成時のプログラムによるアクセス用の IAM ユーザの作成は許可するが、AWS マネジメントコンソールへのアクセス用の IAM ユーザの作成を拒否するという設定は可能でしょうか。可能な場合は方法を教えてください。 IAM コンソールでは以下の設定箇所に該当します。 どう対応すればいいの？ プログラムによるアクセスを許可し、AWS マネジメントコンソールへのアクセスを拒否する IAM ポリシーは設定可能です。 IAM コンソールのチェック項目は以下の API に該当します。 プログラムによるアクセス: CreateAccessKey AWS マネジメントコンソールへのアクセス: CreateLoginProfile 新規作成する IAM ユーザーの AWS マネジメントコンソールへのアクセスを判定するアクションはiam:CreateLogi
[アップデート] IAM アクセスアドバイザーによる「アクションレベルでの最終実行履歴の表示」に EC2、IAM、Lambda が対応しました！ | DevelopersIO
[アップデート] IAM アクセスアドバイザーによる「アクションレベルでの最終実行履歴の表示」に EC2、IAM、Lambda が対応しました！ コンバンハ、千葉（幸）です。 IAM アクセスアドバイザーで、新たに EC2、IAM、Lambda もアクションレベルで最終アクセス時刻を確認できるようになりました！ Review last accessed information to identify unused EC2, IAM, and Lambda permissions and tighten access for your IAM roles 必要最小限の権限に絞っていく、そのアプローチがまた一つ楽になりました。 何が変わったのか IAM アクセスアドバイザーは、特定の IAM リソース（ユーザー/グループ/ロール/ポリシー）に対して以下を分析、取得してくれる機能です。 アクセス
AWS Lambda コンソールで CreateAlias アクションを許可してもエイリアスが作成できないときの対処方法 | DevelopersIO
AWS マネジメントコンソールの表示情報はアップデートで変更されることがあります。この記事は 2020/01 時点の内容です。 困っていた内容 AWS Lambda のコンソールで関数のエイリアスを作成したいです。 lambda:CreateAlias のアクションを許可したにもかかわらず、「エイリアスを作成」ボタンが押せません。どうすれば関数のエイリアスが作成できるようになりますか？ この事象は以下の利用状況で発生しました。 要件で一部の操作を制限した IAM ポリシーを IAM ロールへアタッチしている IAM ロールのスイッチロールを利用して、Lambda コンソールへアクセスしている Lambda コンソールでエイリアスを作成できないポリシー例 { "Version": "2012-10-17", "Statement": [ { "Sid": "VisualEditor1", "
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[小ネタ] AWS Systems Managerパラメータストアの暗号化文字列にアクセスするだけの最低限のIAMポリシー | DevelopersIO
AWS Policy Generator
https://ift.tt/1sG0I3J