AWS::IAM::Role - AWS CloudFormation
Type: AWS::IAM::Role Properties: AssumeRolePolicyDocument: Json Description: String ManagedPolicyArns: - String MaxSessionDuration: Integer Path: String PermissionsBoundary: String Policies: - Policy RoleName: String Tags: - Tag AssumeRolePolicyDocument The trust policy that is associated with this role. Trust policies define which entities can assume the role. You can associate only one trust pol
IAM database authentication for MariaDB, MySQL, and PostgreSQL - Amazon Relational Database Service
IAM database authentication for MariaDB, MySQL, and PostgreSQL You can authenticate to your DB instance using AWS Identity and Access Management (IAM) database authentication. IAM database authentication works with MariaDB, MySQL, and PostgreSQL. With this authentication method, you don't need to use a password when you connect to a DB instance. Instead, you use an authentication token. An authent
AWS CLIからCloudFormation でユーザとロールを作成して、流れるようにスイッチロールの確認をしてみた | DevelopersIO
AWS CLIからCloudFormation でユーザとロールを作成して、流れるようにスイッチロールの確認をしてみた 最近は、ABACばっかりやってるAWS 事業本部 梶原＠福岡オフィスです。 ABAC(属性ベースのアクセスコントロール ）を実施する際、ポリシーは同一にして、スケールすることができるのですが、ユーザやロールの確認作業は必要になってきます。 とはいえ、様々な属性値のユーザの確認作業を手作業でやるのは結構大変です。 ということで検証作業を楽にするため、ユーザー作成、ロール作成部分をTemplate化しました。必要に応じて修正（タグ値を追加など）して、ご自由にお使いください また流れで、ロールの検証を行いたいため、スイッチロールを楽にするために認証情報を取得しやすくしています。 credentialsの設定や、configの設定って微妙にはまりがちなのでなるべく簡単に定型作業で
最低限のガードレールを考慮したシンプルな IAM 設計を CloudFormation でデプロイする | DevelopersIO
IAM 設計において、かんたんなガードレールや誤操作防止を考慮し、IAM リソースを１つずつ CloudFormation で構築する機会があったのでご紹介します。 ちゃだいん（@chazuke4649）です。 IAM 設計において、かんたんなガードレールや誤操作防止を考慮し、IAM リソースを１つずつ CloudFormation で構築する機会があったのでご紹介します。 前回ブログの発展版となりますので、よければ以下前回ブログもご覧ください。 「ガードレール」という概念については、以下記事を眺めてもらえれば掴めてくるかと思います。 AWS Security Roadshow Tokyo 2019午前セッションレポート | Developers.IO [レポート] アクセス管理の信頼性 (Access Control Confidence) #SEC316 #reinvent | Dev
参照専用の権限を持つIAMユーザの作成 | DevelopersIO
渡辺です。 IAMユーザに不必要な管理者権限を付けていませんか？ リソースの確認依頼などを行う時、不用意に強い権限を持ったIAMユーザを発行すると、それ自体がセキュリティリスクとなります。 可能であれば、 必要最小限の権限を与えるべき でしょう。 特に、リソースの削除やIAM関連の作成権限は、事故が起きたときの被害が計り知れません。 今回は、必要最小限の権限を持ったIAMユーザ作成のコツを解説します。 IAMユーザの作成 はじめにIAMユーザを作成します。 マネジメントコンソールを開き、サービスメニューからIAMを開きます。 ダッシュボードから「ユーザ」メニューを開き、「ユーザを追加」をクリックします。 ユーザ名（readonly_user）を入力し、アクセスの種類で「AWSマネジメントコンソールへのアクセス」を選択します。 アクセス権限では「既存のポリシーを直接アタッチ」を選択し、Rea
IAM Policy ViewOnlyAccessとReadOnlyAccessの違い | DevelopersIO
IAM PolicyにはAWS管理ポリシーというものがありますが、その中にViewOnlyAccessとReadOnlyAccessという似たような名前のポリシーがあります。この2つのポリシーの違いを調べてみました。 AWS管理ポリシーって？ 名前のとおりですが、AWSを使う私達ユーザーではなく、AWSが管理するポリシーのことです。ユーザー側にポリシーの変更権限は無くポリシーそのものを削除することもできませんが、AWSが我々に代わってサービス追加や機能追加にいい感じに追従してくれます。 ViewOnlyAccessは職務機能のAWS管理ポリシー ViewOnlyAccessはそのAWS管理ポリシーの中でも「職務機能のAWS管理ポリシー」と呼ばれるカテゴリーに属するものです。ネットワーク管理者、データサイエンティストなど、AWSを使う人の業務をAWSが想定してその要件を満たす権限が設定された
Switch from a user to an IAM role (console) - AWS Identity and Access Management
You can switch roles when you sign in as an IAM user, a user in IAM Identity Center, a SAML-federated role, or a web-identity federated role. A role specifies a set of permissions that you can use to access AWS resources that you need. However, you don't sign in to a role, but once signed in as an IAM user you can switch to an IAM role. This temporarily sets aside your original user permissions an
AWS IAMポリシーを理解する | DevelopersIO
はじめに こんにちは、川原です。 AWSのIAMサービスでは、各AWSサービスへの操作をアクセス制御するために「ポリシー」という概念があります。 AWSのドキュメントを読んでいると、ポリシーにはいくつか種類があることに気付くかと思います。本ブログではそれらのポリシーについて整理してみたいと思います。 ポリシーの基本 ポリシーは基本的に、「誰が」「どのAWSサービスの」「どのリソースに対して」「どんな操作を」「許可する(許可しない)」、といったことをJSON形式で記述します。 記述したポリシーをユーザー(IAMユーザー、IAMグループ、IAMロール)や、AWSリソースに関連づけることで、アクセス制御を実現しています。 例えば、以下のJSONはAWS側で用意しているAmazonS3ReadOnlyAccessという名前のポリシーです(後述するユーザーベースポリシーのAWS管理ポリシーに該当)。
MacからAWSにアクセスする時はAssumeRoleすることにした - Qiita
発端 ローカルPCからAWSのAPIを呼び出す場合、アクセスキーをローカルに保存しておく必要がある。 ディスクは暗号化してるしパスワードでロックもされてるけど、大きい権限を持ったユーザのアクセスキーをベタ書きにしておくのは気がひける。 かといって何も出来ないユーザを作っても意味が無い。 ということで、権限の少ないユーザから大きな権限を持つロールを一時的に拝借する形にした。 aws-cliの自動AssumeRoleとの使い分け aws-cli には 自動的にAssumeRoleを行ってくれる機能 がある。cliだけ使うならこちらを使ったほうがいいと思う。 mfa_serial を指定すればワンタイムトークンも使えるし、クレデンシャルの有効期限が切れたら再入力を促してくれる。 ただ、AWS SDK for Ruby では自動的にAssumeRoleしてくれないようだった。 SDKでもクレデンシ
初めてのAssumeRole | DevelopersIO
まだまだ使ったことの無いAWSサービスが多い菅野です。 今回はサービスではないのですが、AssumeRoleという機能を初めて使ったのでまとめてみました。 案件としては別AWSアカウントに存在するS3バケットにファイルを保存する事が目的なのですが、 保存するだけでしたらバケットポリシーで別アカウントのIDを許可するという方法があります。 ただ、その方法だとファイルの所有者が「ファイルをアップロードしたAWSアカウント」になってしまいますので、 トラブルにならないように、AssuemRoleを使うことでファイルの所有者がS3バケットを持つアカウントとなるようにします。 今回の目標 別アカウントのS3バケットにファイルを保存する AssumeRoleにより権限の委譲を行い、S3バケットへの保存許可を得る 作業が完了した時には、以下のようなイメージになります 大まかな作業の流れ 【S3バケットを
Amazon EC2 の IAM ロール - Amazon Elastic Compute Cloud
アプリケーションは AWS 認証情報を使用して API リクエストに署名する必要があります。したがって、アプリケーションデベロッパーである場合、EC2 インスタンスで実行するアプリケーションの認証情報を管理する戦略が必要です。例えば、AWS 認証情報をインスタンスに安全に配布することで、他のユーザーから認証情報を保護しながら、それらのインスタンスのアプリケーションで認証情報を使用してリクエストに署名できます。ただし、各インスタンスに認証情報を安全に配布することは難しく、特に AWS がユーザーの代わりに作成するスポットインスタンスや Auto Scaling グループのインスタンスなどではそれが顕著です。また、AWS 認証情報を循環させる場合、各インスタンスの認証情報を更新できる必要もあります。 アプリケーションが使用するセキュリティ認証情報をお客様が管理する必要なく、アプリケーションがイ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://policysim.aws.amazon.com/home/index.jsp?
Testing IAM policies with the IAM policy simulator - AWS Identity and Access Management
Grant a user permissions to switch roles - AWS Identity and Access Management