AWS の組織移行をしました - freee Developers Hub
SRE 統制チームの oracle です。 この記事は freee 基盤チームアドベントカレンダー の12日目になります。 今回は AWS の 組織移行を行った話をさせて頂きます。 AWS の 組織移行というのはどういうこと？と思われる方もいらっしゃるかと思いますので、正しく説明しますと、 既存の複数の AWS アカウントを構成している AWS Organizations を解体し、新規に作成した AWS Organizations にすべてのアカウントを移動させました。 となります。 その動機とアプローチについてご紹介したいと思います。 背景 AWS 組織移行する前から、freee では 数十の AWS アカウントを運用していました。運用の仕方は組織によって様々ですが、一般的にはプロダクトで分けたり、環境で分けたりすることが多いかと思います。 freee でも同様の手法でアカウントを分け
AWS IAM の管理を miam から Terraform に移行した話 - スタディサプリ Product Team Blog
こんにちは。 SRE の @suzuki-shunsuke です。 AWS IAM の管理を miam から Terraform に移行した話を紹介します。 なお、 AWS や miam に限らず「Terraform で管理されていない大量のリソースを Terraform で管理する」ことを検討している方には参考になる内容かと思います。 背景 本ブログでも何度か紹介したとおり、弊社では AWS のリソースを Terraform で管理しています。 しかし、実は IAM に関しては miam という別のツールで主に管理されていました。 miam は AWS IAM を管理することに特化したツールです。 miam には以下のような特徴があります。 Ruby の DSL によって柔軟にリソースの定義ができる miam によるリソース管理を強制できる DSL で定義されていないリソースは削除されて
【小ネタ】AWS Extend Switch Roles にて行うべきと思う設定 | DevelopersIO
複数のスイッチロールを管理出来る AWS Extend Switch Roles について今更ながら知ったことを展開する記事です。 こんにちは、高崎＠アノテーションです。 はじめに 現在、多数の AWS アクセスロールを切り替えるために AWS Extend Switch Roles の Chrome 版を使用していますが、これがなかなか便利です。 この拡張機能において、最近気付いた便利な設定をチーム内で展開したところ、案外知られていなかったので小ネタとして記事にしてみました。 皆様のご参考になれば幸いです。 AWS Extend Switch Roles とは 通常、AWS でスイッチロールする時はマネージメントコンソールからアカウント ID とロール名を入力して切り替え、履歴からもアクセス出来ます。 しかしながら、ロール履歴には 5 つまでしか残すことが出来ず、その都度入力が必要になる
Cedar（Amazon Verified Permissionsのポリシーのための言語）のチュートリアルを読んだ - s1r-Jの技術ブログ
Amazon Verified PermissionsとはAWSが提供するアクセス管理サービス（認可エンジンとも）です。 ざっくり言うと、アプリケーションでの操作を許可するか拒否するかを評価してくれます。 Amazon Verified Permissionsについては、以前にカンファレンスの動画を見てその内容をまとめたり、リンクをまとめたりしました。気になる方は最初にそちらを読んでください。 s1r-j.hatenablog.com さて、Amazon Verified Permissionsは、誰かが何かに対してどうするときにそれを許可するまたは拒否するということが書かれたポリシーをもとに評価をおこないます。このポリシーはCedarという言語で書かれています。 今回はCedarのチュートリアルをやったので、一部日本語訳をしながら備忘録としてまとめておきます。 チュートリアルの内容 1.
特定IAMロールへスイッチロールしたことを通知する | DevelopersIO
↓ イベントパターンJSON (SwitchTo部分を適宜変更ください) { "source": ["aws.signin"], "detail-type": ["AWS Console Sign In via CloudTrail"], "detail": { "eventSource": ["signin.amazonaws.com"], "eventName": ["SwitchRole"], "additionalEventData": { "$or": [ {"SwitchTo": [{ "suffix": "SomeImportantRole_Admin"}]}, {"SwitchTo": [{ "suffix": "SomeImportantRole_Read" }]} ] } } } ↓ 入力トランスフォーマー > 入力パス { "AccountID": "$.detail
IAM Permissions Boundary の本質 - 電通総研 テックブログ
こんにちは。X（クロス）イノベーション本部 ソフトウェアデザインセンター セキュリティグループの耿です。 IAM の Permissions Boundary（アクセス許可境界）についてやもやしていました。効果はわかるものの、どうして IAM ポリシーだけではダメで Permissions Boundary が必要なのかよくわかりませんでした。この記事では IAM のポリシードキュメントと API の仕様から、 Permissions Boundary が導入された本質的な理由を考えてみます。 結論から先に述べると、Permissions Boundary を使うことで特定の権限を超えて IAM ユーザー/ロールが作成されるのを防ぐ効果があり、これは IAM ポリシーだけでは実現できません。Permissions Boundary は、特定のユーザーが IAM ユーザー/ロールを作成するの
IAM OIDC Identity Provider の作成時、GitHub, Auth0 など一部の IdP で thumbprint の指定が（実質）不要になりました - サーバーワークスエンジニアブログ
こんにちは。社内 SE の橋本です。 みなさんは GitHub Actions 使ってますか？便利ですよね。 今回は GitHub Actions で AWS との連携を行う場合の話をします。OIDC Identity Provider の設定がちょっと楽になりました。 参照元記事 こちらです。 github.blog この記事は GitHub Actions に関するリリースなので GitHub Actions に特化した内容となっていますが、当該記事の中でリンクされている AWS Document（下記）を見る限りでは Auth0 や Google など他の一部 IdP でも共通するアップデートのようです。 docs.aws.amazon.com "note" セクションに以下のように記載があります。 AWS secures communication with some OIDC i
AWS IAM Identity CenterでIAMアカウントを統一する
概要 AWS IAM Identity Center 昔はAWS SSOと呼ばれていたました これを使うことで、複数AWSアカウントのIAMを統一的に管理することができます 複数アカウントのIAM管理手法はいくつかあります スイッチロールによる管理との比較、メリットについては 株式会社PLAN-Bさんがまとめてくれています 下記記事がとても分かりやすいと思います IAM Identity Centerは既存のIAMユーザーと競合しないので、段階的に一部のユーザーだけ試してみるといった運用も可能です 同じユーザー名でも問題ありません 今回は以下のようにaccountA、accountBに存在するyamasitaアカウントをIAM Identity Centerのyamasitaに移行するまでの設定をやってみます 以下のようにログインのURLが変わりますが、ログイン後の使用感は変わりません 実
DevelopersIO 2023 大阪 – 勉強会「AWS IAM Identity Centerを用いたAWSアクセス」 #devio2023 | DevelopersIO
DevelopersIO 2023 大阪 – 勉強会「AWS IAM Identity Centerを用いたAWSアクセス」 #devio2023 DevelopersIO 2023 大阪の AWS 質問ブース の勉強会「AWS IAM Identity Centerを用いたAWSアクセス」のブログです。 AWS IAM Identity Center を利用して AWS アカウントにアクセスする方法についてご紹介します。 AWS IAM Identity Center の概要 AWS アカウントやクラウドアプリケーションへのアクセスを一元管理できる AWS IAM Identity Center の全体イメージを紹介します。 IAM Identity Center はユーザーの認証情報をローカル（IAM Identity Center 自信）で保持する他、外部 ID プロバイダーや Ac
Temporary elevated access management with IAM Identity Center | Amazon Web Services
AWS Security Blog Temporary elevated access management with IAM Identity Center AWS recommends using automation where possible to keep people away from systems—yet not every action can be automated in practice, and some operations might require access by human users. Depending on their scope and potential impact, some human operations might require special treatment. One such treatment is temporar
【GitHub Actions】IAMロールを利用したAWSへのアクセス - サーバーワークスエンジニアブログ
こんにちは。AWS CLIが好きな福島です。 はじめに 参考 概要図 やること ①IDプロバイダーの設定 ②IDプロバイダーへのIAMロールの割り当て ③②で作成したIAMロールの信頼関係の編集 ④GitHubのSecretsにIAMロールのARNを保存 ⑤GitHub ActionsによるGitHubからS3へのオブジェクトコピー 終わりに はじめに GitHub ActionsでIAMロールを利用してAWSへアクセスできることを知ったため、試してみたいと思います。 IAMロールを利用することでIAMのクレデンシャルの管理が不要なため、セキュアにGitHub Actionsを利用できます。 参考 docs.github.com docs.github.com 概要図 認証/認可周りは疎いのですが、概要図は以下のイメージになるかと思います。 やること ①IDプロバイダーの設定 ②IDプロバ
Amazon CognitoのUser Groupを利用した権限管理について本気出して考えてみた。 - Qiita
パーソルプロセス＆テクノロジー株式会社のAdvent Calendar 19日目の記事です。 Azureの記事が多い中ですが、堂々とAWSの記事を書いていこうと思います。 今回は何番煎じかわかりませんが、Amazon Cognitoを利用して役職や階級の概念を持つサービス内の権限管理を行います。 順を追って構築していくので、記事を読み終わった際に 権限管理が可能な環境が構築できる状態 になっていただければ幸いです。 あくまで『権限管理を行う』が目的です。個々の解説は適当なので、公式のドキュメントを合わせて読んでみてください。 不明点あれば質問いただければ返答します(正しい答えが返ってくるとは言っていない。) 最初に Cognitoは、認証認可、またユーザーの管理なども兼ね備えたフルマネージドなサービスです。 GoogleやFaceBookを利用したソーシャルログインも実現することもできます
AWS マルチアカウント統制の要件検討アプローチ例 | Amazon Web Services
Amazon Web Services ブログ AWS マルチアカウント統制の要件検討アプローチ例 はじめに 我々、AWS のプロフェッショナルサービスは、クラウド活用に関するお客様固有のブロッカーを取り除くための支援をするチームです。お客様の役割は様々ですが、組織全体の AWS アカウント管理を担われているお客様をご支援するケースもあります。組織全体で AWS をセキュアに利用いただくためには、クラウド利用の社内規定やガイドラインの作成だけでなく、ルールを強制的に適用したり、非準拠状態を発見・報告したりするための仕組み（このブログでは複数の AWS アカウントを統制するための基盤として統制基盤と呼びます）の構築を推奨することもあります。一方で統制基盤を構築したいと考えているが、「統制基盤のあるべき姿をどのように定義すればよいかわからない」といったお悩みを抱えているお客様も多いのではないで
【AWS権限管理術②】AWS ポリシー設計基礎
はじめに さて、先日はIAMポリシーについての記事を書きましたが、AWSの権限管理で知っておくべき項目は他にも多数あります。 例えば、S3でファイルにアクセスするユーザを制限したいといった場合は、S3のバケットポリシー・ACLで管理しますし、サービスの暗号化で良く利用されるKMSでは、それぞれどのユーザ・サービスがそのキーを利用できるのかキーポリシーで権限を管理する必要があります。または、OrganizationsのSCPでアカウント毎に権限管理を行うなどなど…AWSの権限管理は、奥深いものになっております。 そこで、AWSの権限管理する上で知っておくべき情報をギュギュっとまとめてみました！ AWSの権限管理の基本①：明示的許可・暗黙的拒否・明示的拒否 AWSの権限管理での基本の基本となるのが、明示的許可・暗黙的拒否・明示的拒否の考え方です。 簡単にまとめると下のような感じです。 ポリシー
AWS CLIがAssumeRoleする際のセッション名を指定する | DevelopersIO
こんにちは。サービスグループの武田です。 AWS CLIは好きですか？（挨拶） AWSの操作はマネジメントコンソールを利用してぽちぽちする方法も楽ですが、自動化などしたい場合にはAWS CLIも便利です。またAWS CLIにはプロファイルにIAMロールを設定しておくだけで自動的にAssumeRole（スイッチロール）してコマンドを実行してくれる機能もあります。 さてAssumeRoleをして一時的なクレデンシャルを取得する際にはセッション名の指定が必要です。次のようにassume-roleコマンドのリファレンスでも--role-session-nameが必須パラメーターとなっています。 assume-role --role-arn <value> --role-session-name <value> AWS CLIがプロファイルの設定から自動的にAssumeRoleする際には、セッション
AWS CloudShell 上でフェデレーションサインイン用 URL を生成してみた | DevelopersIO
ちょっと環境を覗いてもらうために一時的な URL を払い出す コンバンハ、千葉（幸）です。 「ちょっと環境を覗いてもらうために AWS マネジメントコンソールへの接続情報を提供したい」 「かといってわざわざ専用の IAM ユーザーやロールを払い出すのは避けたい」 ということがあるかもしれません。 AWS CloudShell のドキュメントを眺めていると、そんなケースにマッチしそうなチュートリアルを見つけました。 フェデレーションサインイン用の URL を生成するスクリプトを載せてくれているので、これが活用できそうです。 ここでは特定の S3 バケットの特定のプレフィックス配下のオブジェクトに対する操作のみ許可するというシチュエーションが想定されていますが、ある程度柔軟にカスタマイズできるのでそれ以外のケースでも転用できます。 何をするのか やっていることは以下のエントリとほぼ同じです。こ
マネコン起動もできるAWSのスイッチロール用CLIツール「AWSume」の紹介 | DevelopersIO
プロファイル指定したマネジメントコンソールの起動までできる、コマンドラインツールです。全AWSユーザーが求めていたのはこれなんじゃないでしょうか。どすこい。 「スイッチロールからの作業、AWSのベストプラクティスだけれどツールの設定がめんどくさいよね」 ハマコー、最近会社のパソコンをIntel MacからM1 Macに切替たことがきっかけで、いろんなツールを再度セットアップしてました。 普段AWS触っている身としてはスイッチロールして作業する環境も必須なので、改めて最新ツールを物色していたところ、弊社技術番長の岩田御大に教えてもらったAWSumeというツールが圧倒的に便利だったので、前のめりに紹介します。 標準公式のconfigとcredentialファイルのみで動作し、別途設定ファイルは不要 コマンドラインから、プロファイル名の自動補完に対応 指定したプロファイルから、マネジメントコンソ
About security hardening with OpenID Connect - GitHub Docs
Overview of OpenID Connect GitHub Actions workflows are often designed to access a cloud provider (such as AWS, Azure, GCP, or HashiCorp Vault) in order to deploy software or use the cloud's services. Before the workflow can access these resources, it will supply credentials, such as a password or token, to the cloud provider. These credentials are usually stored as a secret in GitHub, and the wor
スイッチロールの履歴表示を削除する方法 - サーバーワークスエンジニアブログ
こんにちは、CI部 呉屋です。 マネージメントコンソールからスイッチロールを使うことがあると思います。 その際、履歴の表示はどうしても残ってしまいます。 対応した案件の終了後など、使用しないアカウント情報は削除しておいた方が良いです。 私は以前、オペミスで履歴を押下してログインしてしまったことがあります。 そのような過ちを防ぐため、スイッチロールの履歴表示を削除する手順を記載します。 スイッチロールとは スイッチロールの履歴表示とは 手順 (Google Chromeの場合) ブラウザの設定画面から[プライバシーとセキュリティ] → [Cookie と他のサイトデータ] を開く [すべての Cookie とサイトデータ] を開く [aws.amazon.com] を選択 [noflush_awsc-roleInfo]を削除 実施後 最後に スイッチロールとは 初めに「スイッチロールとはどん
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Creating a presigned URL for Amazon S3 objects using AWS CloudShell - AWS CloudShell