最小権限のIAM Policy作成にCloudFormationのコマンドが役立つ | DevelopersIO
最小権限のIAM Policyを作成するのって地味に面倒ですよね。以前私は、Route53ホストゾーンにDNSレコード作成するのに必要な最小権限のPolicyを作るため、権限ゼロの状態から始めて、権限不足エラーが出るたびに権限を足していくという力技でPolicyを作ったことがあります。 Route53ホストゾーンにDNSレコードをTerraformで作成するのに必要な最小権限 | DevelopersIO もうちょっとスマートなやり方が、CloudFormation(CFn)のコマンドを使うとできる場合があることを学んだのでレポートします。 aws cloudformation describe-type そのコマンドが、 aws cloudformation describe-typeです。--typeオプションでRESOURCEを指定して、 --type-nameでCFnのリソースタイ
Amazon RDS: タグ所有者がタグ付けした RDS リソースへのフルアクセスを許可する - AWS Identity and Access Management
この例は、タグ付けした RDS リソースへのフルアクセスをタグの所有者に許可する ID ベースのポリシーを作成する方法を示しています。このポリシーでは、AWS API または AWS CLI から、このアクションをプログラムで完了するために必要なアクセス権を許可します。 { "Version": "2012-10-17", "Statement": [ { "Action": [ "rds:Describe*", "rds:List*" ], "Effect": "Allow", "Resource": "*" }, { "Action": [ "rds:DeleteDBInstance", "rds:RebootDBInstance", "rds:ModifyDBInstance" ], "Effect": "Allow", "Resource": "*", "Condition": {
IAMポリシーで、特定のリソース/タグに限定してアクションを許可したい場合、どのように記載すればいいですか？ | DevelopersIO
この記事は アノテーション株式会社 AWS Technical Support Advent Calendar 2022 | Advent Calendar 2022 - Qiita 22日目の記事です。 困っていること IAMポリシーで、以下のように RDS インスタンスについて、開始、停止、再起動するポリシーを記載しました。 { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "rds:StartDBInstance", "rds:StopDBInstance", "rds:RebootDBInstance" ], "Resource": "*" } ] } これについて、特定のリソースにだけアクションを許可するよう、制限を付与する要件があります。 その他、特定のタグが付与されたリソースに
このアクション、いまのポリシー設定で実行できる？ IAM Policy Simulator でお手軽に確認しちゃおう | DevelopersIO
コンバンハ、千葉（幸）です。 IAM ポリシーを設計・設定したのちには、きちんと意図通りに動作するか確認したいものです。とはいえ、リソースに変更を加えるようなアクションはなかなかテストしづらいですよね。 テスト用のリソースを作ったり消したりして対応する場面も多いかと思いますが、それすら許容されないケースもあります。そんな時にあくまで机上での動作のシミュレートができるのが IAM Policy Simulator です。 使い方を確認していきましょう。 目次 目次 IAM Policy Simulator の全体像 IAM Policy Simulator へのアクセス方法 IAM Policy Simulator に必要な権限 IAM Policy Simulator のモード シミュレートするポリシーの設定方法 AWS Organizations SCPs IAM Policies、Pe
IAM: IAM ユーザーに MFA デバイスの自己管理を許可する - AWS Identity and Access Management
この例は、IAM ユーザーが多要素認証 (MFA) デバイスを自己管理することを許可する ID ベースのポリシーの作成方法を示しています。このポリシーでは、AWS API または AWS CLI から、このアクションをプログラムで完了するために必要なアクセス権を許可します。 このポリシーを設定した IAM ユーザーが MFA 認証されていない場合、このポリシーは、MFA を使用した認証に必要なアクションを除いて、すべての AWS アクションへのアクセスを拒否します。AWS にサインインしているユーザーにこれらのアクセス許可を追加する場合、これらの変更を確認するには、サインアウトしてからサインインする必要がある場合があります。 { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowListActions", "Effect": "A
Service Quotas から IAM 上限管理が可能になりました！ | DevelopersIO
園部です。 Service Quotas で IAM 上限管理が可能となりました！ 要注意なのは、バージニア北部リージョンから申請を行う必要がある点です。 You can manage your IAM quotas in the US East (N. Virginia) region, when using AWS Service Quotas. 引用：Manage your AWS Identity and Access Management quotas with AWS Service Quotas AWS ではリージョンに紐づかないグローバルなサービスがあります。 IAM もその一つのため、特定リージョン（バージニア北部）から申請を行う必要があるようです。CloudWatch のメトリクスなども同様にバージニア北部に集約されていますね。 サポートケースから上限緩和申請する際には
【AWS】IAMのスイッチロールの設定方法｜コラム｜クラウドソリューション｜サービス｜法人のお客さま｜NTT東日本
1.そもそもIAMとは？ AWS上のリソースへのアクセスを制御するものです。 IAMがあることで、役割に応じた権限を個別に付与できるようになるんです。 詳細は以下のコラムで書かれていますので、そちらをご参照ください。 AWS IAMによる権限設定のメリットと設定方法 2.スイッチロールとは？ ロールの機能のひとつで、他アカウントからのログインを許可するロールのこと。 付与するポリシーによってさまざまな権限を与えることができます。 （管理者権限であったり、EC2限定の閲覧権限であったり） 3.スイッチロールのない世界 複数アカウントを管理している場合、アカウント間を移動する際にログイン・ログアウトを繰り返していると非常に手間がかかりますよね？ 上図より開発アカウントからテストアカウントに移動する場合の作業。 ①開発アカウントからログアウト ②テストアカウント用のアカウントID、ユーザ名、パス
AWS CLIでスイッチロール - Qiita
CloudShellでスイッチする方法と、ローカルにインストールしたAWS CLIでスイッチする方法をやります。 複数アカウントの準備はおひとりさまOrganizationsやってみた参照。 スイッチロールするためのユーザ・ロール・権限の準備はAWSマネジメントコンソールでスイッチロールするを参照。 0.事前準備 今回はアカウントA（スイッチ元）からアカウントB（スイッチ先）にAWS CLIでスイッチロールする。 アカウントA（スイッチ元） IAMユーザ：AccountA_user 「AccountB_role」を引き受ける権限が必要 CloudShellを使う場合はAWSCloudShellFullAccess権限が必要 { "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Action": "sts:AssumeRo
AWSマネジメントコンソールでスイッチロールする - Qiita
スイッチしまくってやるよ～ 1.準備 アカウントAのユーザでアカウントBのロールを引き受け、アカウントAのユーザでアカウントB内のリソースを操作する。 1-1.アカウントB側の準備（スイッチ先） アカウントBにロールを作る。IAMのサービス画面から[ロールを作成]をクリックする。 [AWSアカウント]を選択する。 [別のAWSアカウント]を選択しアカウントAのアカウントIDを記入する。 次へ。 ロールに許可するポリシーを選択する。今回は[ReadOnlyAccess]を選択して次へ。 ロールの名前を入力する。 [ステップ1:信頼されたエンティティを選択する]には、このロールに付与する「信頼ポリシードキュメント」が表示されており、次のようになっている。 { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action
IAM初心者がAWS CLIでスイッチロールするまで | DevelopersIO
こんにちは。 サービスGの金谷です。 これまでIAMの設定を自分でやることがあまりなく、スイッチロールで何が起きているのか全然理解できていなかったのでまとめようと思います。 まず大前提 AWSアカウント≠ IAMユーザー です。 当然といえば当然なのですが別物です。 ざっくり説明するとAWSアカウントの中にIAMユーザーがいるといった形で、AWSアカウント＝ルートユーザーのようなイメージです。 私個人の経験としてはプライベートでAWSを学び触り始めたばかりのときは IAMを何も設定せずに他のサービスを触ったりしていましたが、通常は使用するべきではないです。 ちゃんとIAMユーザーを作成してそちらで作業するようにしましょう。 スイッチロールとは 名前の通りIAMロールを切り替える機能です。 アカウントを跨いだロールの切り替えも可能です。（というかこちらをメインに使います） 上図ではスイッチ元
【資料公開】AWSアカウントで最初にやるべきこと 〜2022年6月版〜 | DevelopersIO
ログ・モニタリングのやること AWS CloudTrail の設定 CloudTrail は AWS リソースに関して「誰が」「いつ」「何に」対して「どうような」操作をしたのかのイベントを記録するサービスです。イベント履歴から 90 日間分のイベントを確認することはできますが、イベントログの長期保管の設定（証跡の作成を行い、S3 に保管）をしておくことで、トラブル発生時の解析やインシデント発生時の調査などに利用できます。 有料です（無料利用枠もあります）。 [YouTube] AWS CloudTrail を触ってみた CloudTrail Insights イベントを利用することで、機械学習により異常なアクティビティを検出することもできます。通常の操作で検出されることがあるため、始めに試してみて、あまり活用しないようであれば無効化を検討でも良いと思います。 イベントログは S3 と Cl
【2022年版ベストプラクティス】AWS IAMまとめ - Qiita
はじめに AWSのアクセス制御サービスであるIAMについて、2022年7月時点での機能および使用法を、初学者でも理解しやすいことを心掛けてまとめました。 IAMをよく分からないまま適当に設定するとセキュリティ的にまずいので、これを機に設定を見直して頂き、セキュリティレベル向上に貢献できれば幸いです。 特に、後述するIAM設定手順は、AWSに登録して最初に実施すべき設定に相当するため、セキュリティに興味がなくとも一度は実施することをお勧めします。 また公式のベストプラクティスは丁寧にまとめたつもりなので、初学者以外でもAWSのセキュリティ確保に興味がある方は、ぜひご一読頂けると嬉しいです。 IAMとは 「Identity and Access Management」の略です。 公式ドキュメントによると、IAMは「誰」が「どのAWSのサービスやリソース」に「どのような条件」でアクセスできるかを
IAMロール徹底理解 〜 AssumeRoleの正体 | DevelopersIO
さて、皆様はIAMにどのようなイメージをお持ちでしょうか。プロジェクトに関わる複数人で1つのAWSアカウントを扱う時、各メンバーに配布するアカウントを作れる機能。そして、その気になればアカウントをグループ分けし、権限を厳密に管理できる機能。といったところかと思います。 上記のユースケースで出てきた主なエンティティ（要素）はUserとGroupですね。IAMのManagement Consoleで見てみると、IAMはこれらの他にRoleやIdentity Providerというエンティティによって構成されているようだ、ということがわかります。今日はRoleにフォーカスを当てて、その実態を詳しく理解します。 IAM Role IAM Roleを使うと、先に挙げたIAMのユースケースの他に、下記のようなことが出来るようになります。 IAM roles for EC2 instancesを使ってみ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Downloading logs from Elastic Beanstalk with access errors
https://policysim.aws.amazon.com/home/index.jsp
https://support.serverworks.co.jp/hc/ja/articles/5045982948889-%E6%96%B0%E8%A6%8FIAM%E3%83%A6%E3%83%BC%E3%82%B6%E3%83%BC%E3%81%8C%E5%88%9D%E5%9B%9E%E3%83%AD%E3%82%B0%E3%82%A4%E3%83%B3%E6%99%82%E3%81%AB-%E5%88%9D%E6%9C%9F%E3%83%91%E3%82%B9%E3%83%AF%E3%83%BC%E3%83%89%E5%A4%89%E6%9B%B4%E3%81%97%E3%82%88%E3%81%86%E3%81%A8%E3%81%99%E3%82%8B%E3%81%A8-iam-ChangePassword-%E3%82%92%E5%AE%9F%E8%A1%8C%E3%81%99%E3%82%8B%E6%A8%A9%E9%99%90%E3%81%8C%E7%84%A1%E3%81%84-%E3%81%AE%E3%82%A8%E3%83%A9%E3%83%BC%E3%81%A8%E3%81%AA%E3%81%A3%E3%81%A6%E3%81%97%E3%81%BE%E3%81%84%E3%81%BE%E3%81%99
[Question] CodeStarWorker-test-CloudFormation/AWSCloudFormation is not authorized to perform: iam:CreateRole on resource: · Issue #448 · aws/serverless-application-model
lambda:GetAlias warning in CloudFormation stack update triggered by CodeStar
Change IAM Role for a Lambda in a CloudFormation template in a CodeStar project?
Authorizing AWS CloudFormation Role to perform iam:CreateRole on Resources