6/22（月）、JAWS-UG CLI専門支部 #159R IAM入門に参加しました。今回もハンズオンの感想と学んだコマンドについて書きます。
目次
イベントページ
ハンズオンでやったこと
以下の通りです。事前準備として、Cloud9上にハンズオン環境を構築しました。 ハンズオンでは、Cloud9のターミナルでコマンド実行しました。
IAMとは
- IAMマネジメントコンソールレベルでは対になっている。
- API単位ではIAMとSTSが密接な関係にある
- AWSアカウントはメールアドレスに紐づいた親アカウント
- 初期設定が終了したら封印して二度と使うことはないようにしておく
- 昔はAWSアカウントですべてのリソースを操作していた。
- 過大な権限による弊害を避けるためにIAMが生まれた
- 適切な権限の分割が目的
- 現行のバージョンは2012年10月
AWSを真に理解するとは
IAMのサービス概要
ユーザ・グループとロールの認証上の違い
IAM設計における2つの戦略観点
- 防御戦略
- いかにクレデンシャルを抜かれないようにするか
- クレデンシャルを悪用される状況が最も危険
- これらをなるべく使わない
- IAMロールをなるべく使う
- EC2やCloud9を作業環境として使わないときは落とす
- 権限戦略
- ユーザは最低限＆分割
- 複数の場所で同一ユーザを使わない
- 最小権限の原則（一番大事）
- ポリシは使い捨て
- 人とリソースの両面からポリシを考える
- 小さなポリシを組み合わせて適用する
- IAMポリシは1つの対象に対して10ポリシを適用できる
- 防御戦略
IAM設計上の戦術
- クレデンシャルはMFAで保護する
- アクセスキーは2つ作成できるので自動更新できるようにする
- ポリシをリソースドリブンで作成する
- AWSマネジメントポリシをなるべく使わない
- リソースが*なのでザルすぎる
IAM設計上の戦略と戦術については、波田野さんの資料が紹介されていました。
感想
今回はハンズオン前の解説がいつも以上に長いことから、AWSの中で一番重要なサービスであることを改めて思い知らされました。下手な設定をして泣きを見ないよういつも以上に真剣に取り組まねばと思いました。また、今回の復習ブログだけでなく、定期的に復習して忘れないようにしないと！と思いました。
ハンズオンで出てきたコマンドについて何となくやっていることは分かったと以前も書きましたが、 認証ファイルの作成部分は少し複雑なコマンドで、何をやっているのか理解するのに時間がかかりました。 LinuxのコマンドやJMESPathの記述について、まだまだコマンドやスクリプトの一つひとつの意味を深堀りできてないと思いました。 時間を作ってLinuxコマンドとJMESPathに特化した勉強もしたいと思いました。自分でもスクリプトを書けるようになりたい…
ハンズオンで学んだコマンド
事前作業・ハンズオン手順は、こちらを参照してください。
なお、ハンズオン概要としては、以下の通りです。構成図は、こちらを参照してください。
１．IAMグループの作成
- グループ名を指定して
iam create-groupでIAMグループを作成します。
aws iam create-group \
--group-name ${IAM_GROUP_NAME}
- 作成したグループを、
iam list-groupsで存在確認します。
aws iam list-groups \
--query "Groups[?GroupName == \`${IAM_GROUP_NAME}\`].GroupName" \
--output text
２．IAMグループのポリシーアタッチ
- グループ名とIAMポリシのARNを指定し、
ima attach-group-policyを実行してポリシをアタッチします。
aws iam attach-group-policy \
--group-name ${IAM_GROUP_NAME} \
--policy-arn ${IAM_POLICY_ARN}
※IAMポリシのARNはiam list-policiesで取得します。
IAM_POLICY_ARN=$( \
aws iam list-policies \
--scope AWS \
--max-items 1000 \
--query "Policies[?PolicyName==\`${IAM_POLICY_NAME}\`].Arn" \
--output text \
) \
&& echo "${IAM_POLICY_ARN}"
- 指定したグループに指定したIAMポリシがアタッチされていることを、
iam list-attached-group-policiesで確認します。
aws iam list-attached-group-policies \
--group-name ${IAM_GROUP_NAME} \
--query "AttachedPolicies[?PolicyName == \`${IAM_POLICY_NAME}\`].PolicyName" \
--output text
３．IAMユーザの作成
- ユーザ名を指定し、
iam create-userでIAMユーザを作成します。
aws iam create-user \
--user-name ${IAM_USER_NAME}
- 作成したIAMユーザが存在することを
iam list-usersで確認します。
aws iam list-users \
--query "Users[?UserName == \`${IAM_USER_NAME}\`].UserName" \
--output text
４．IAMユーザのIAMグループへの追加
- IAMユーザをどのIAMグループに追加したいか指定して、
iam add-user-to-groupでグループ追加します。
aws iam add-user-to-group \
--group-name ${IAM_GROUP_NAME} \
--user-name ${IAM_USER_NAME}
- 指定のIAMユーザがIAMグループに追加されているか、
iam list-groups-for-userで確認します。
aws iam list-groups-for-user \
--user-name ${IAM_USER_NAME} \
--query "Groups[?GroupName==\`${IAM_GROUP_NAME}\`].GroupName" \
--output text
５．APIアクセスキーの作成
- 現在のアクセスキーの数を確認します。
COUNT_IAM_ACCESS_KEYS=$( \
aws iam list-access-keys \
--user-name ${IAM_USER_NAME} \
--query 'length(AccessKeyMetadata[])' \
) \
&& echo ${COUNT_IAM_ACCESS_KEYS}
- 変数FILE_ACCESS_KEYにアクセスキーを保存するファイルパスを格納します。
FILE_ACCESS_KEY="${DIR_ACCESS_KEY}/${IAM_USER_NAME}-token-${COUNT_IAM_ACCESS_KEYS}.json" \
&& echo ${FILE_ACCESS_KEY}
- アクセスキーを作成するユーザを指定して、
iam create-access-keyを実行します。- 同時にアクセスキーを先に指定したファイルパス（FILE_ACCESS_KEY）に保存します。
aws iam create-access-key \
--user-name ${IAM_USER_NAME} \
> ${FILE_ACCESS_KEY} \
&& cat ${FILE_ACCESS_KEY}
- IAMユーザにアクセスキーが作成されたことを
iam list-acccess-keysで確認します。
aws iam list-access-keys \
--user-name ${IAM_USER_NAME} \
--query 'AccessKeyMetadata[].[join(``,[CreateDate,`,`,Status])]' \
--output text
６．AWS認証ファイルの作成
ここでは、認証情報（~/.aws/creadentialsファイル）とデフォルトリージョンなど設定情報（~/.aws/config）を作成します。
- ~/.aws/creadentialsファイルに追加するために、INIファイルを作成します。
echo "[${IAM_USER_NAME}]" > ${FILE_USER_CREDENTIAL}
cat "${FILE_ACCESS_KEY}" \
| jp.py 'AccessKey' \
| sed '/[{}]/d' | sed 's/[\" ,]//g' | sed 's/:/=/' \
| sed 's/AccessKeyId/aws_access_key_id/' \
| sed 's/SecretAccessKey/aws_secret_access_key/' \
| grep '^aws_' \
>> ${FILE_USER_CREDENTIAL} \
&& cat ${FILE_USER_CREDENTIAL}
- ~/.aws/configファイルに追加するために、config形式のファイルを作成します。
- ${FILE_USER_CONFIG} にconfigファイルのパスを指定します。
- ${REGION_AWS_CONFIG}にデフォルトリージョンを指定し、${FILE_USER_CONFIG}で指定したファイルに追記します。
echo "[profile ${IAM_USER_NAME}]" > ${FILE_USER_CONFIG} \
&& echo "region=${REGION_AWS_CONFIG}" >> ${FILE_USER_CONFIG} \
&& echo "" >> ${FILE_USER_CONFIG} \
&& cat ${FILE_USER_CONFIG}
- INIファイルの内容を ~/.aws/credentials に追記します。
cat ${HOME}/environment/conf-handson-cli-iam/handson-cli-user.ini >> ~/.aws/credentials
- configファイルの内容を ~/.aws/config に追記します。
cat ${HOME}/environment/conf-handson-cli-iam/handson-cli-user.config >> ~/.aws/config
７．IAMユーザーの動作確認
- デフォルトリージョンとユーザを指定します
export AWS_DEFAULT_REGION='ap-northeast-1'
export AWS_DEFAULT_PROFILE='handson-cli-user'
cloud9 list-environmentsでCloud9上の環境情報を取得します。
aws cloud9 list-environments
８．APIアクセスキーの作成
- ５．と同じ手順でAPIアクセスキーをもう一つ作成します。
９．最新ではないアクセスキーの無効化
- アクセスキーの作成日付を
iam list-access-keysで取得します。
ARRAY_DATE_ISO8601=$( \
aws iam list-access-keys \
--user-name ${IAM_USER_NAME} \
--query 'AccessKeyMetadata[].CreateDate' \
--output text \
) \
&& echo ${ARRAY_DATE_ISO8601}
unsetコマンドで変数ARRAY_DATETIME_UNIXを解除します。
unset ARRAY_DATETIME_UNIX
- アクセスキーの作成日時をUNIX時間形式で取得します。
if [ $(uname) == 'Linux' ]; then \
for i in $(echo ${ARRAY_DATE_ISO8601} ); do \
DATETIME_UNIX="$( date -d ${i} +%s )" \
ARRAY_DATETIME_UNIX="${ARRAY_DATETIME_UNIX} ${DATETIME_UNIX}" \
;done \
else \
for i in $(echo ${ARRAY_DATE_ISO8601} ); do \
DATETIME_UNIX="$( date -u -jf %FT%TZ ${i} +%s )" \
ARRAY_DATETIME_UNIX="${ARRAY_DATETIME_UNIX} ${DATETIME_UNIX}" \
;done \
fi
echo ${ARRAY_DATETIME_UNIX}
- 作成日が古い方のUNIX時間形式を取得します。
DATETIME_UNIX=$( \
echo ${ARRAY_DATETIME_UNIX} \
| awk 'BEGIN{CONVFMT = "%.10d"; OFMT = "%.10d";};{
num = int (split($0, arr_input, " "));
current = 1;
for (i = 1; i <= num; i++) {
arr_output[current] = arr_input[1];
for (j = 1; j <= num; j++) {
if ( j <= num ) {
if ( arr_input[j] != NULL && arr_output[current] > arr_input[j] ){
arr_output[current] = int (arr_input[j]);
del = j;
}
}
}
delete arr_input[del];
current++;
}
print arr_output[1];
}' \
) \
&& echo ${DATETIME_UNIX}
- 取得したUNIX時間形式をISO8601形式に変換します。
if [ $(uname) == 'Linux' ]; then \
DATE_ISO8601=$( date -d @${DATETIME_UNIX} +%Y-%m-%dT%TZ ); \
else \
DATE_ISO8601=$( date -u -r ${DATETIME_UNIX} +%FT%TZ ); \
fi
echo ${DATE_ISO8601}
- 作成日が古いアクセスキーを取得します。
IAM_ACCESS_KEY_ID=$( \
aws iam list-access-keys \
--user-name ${IAM_USER_NAME} \
--query "AccessKeyMetadata[?CreateDate == \`${DATE_ISO8601}\`].AccessKeyId" \
--output text \
) \
&& echo ${IAM_ACCESS_KEY_ID}
- ユーザ名とアクセスキーを指定し、
iam update-access-keyで無効（inactive）にします。
aws iam update-access-key \
--user-name ${IAM_USER_NAME} \
--access-key-id ${IAM_ACCESS_KEY_ID} \
--status Inactive
- ユーザ名に紐づくアクセスキーの状態を
iam list-access-keysで確認します。
aws iam list-access-keys \
--user-name ${IAM_USER_NAME} \
--query 'AccessKeyMetadata[].[join(``,[CreateDate,`,`,Status])]' \
--output text
１０．IAMログインプロファイルの作成
- ユーザIDとパスワードを指定します。
IAM_USER_NAME='handson-cli-user'
※xxxxxxxxxにパスワードを指定します。
IAM_PASSWORD_NEW='xxxxxxxxx'
- ユーザ名とパスワードを指定して
ima create-login-profileを実行します。
aws iam create-login-profile \
--user-name ${IAM_USER_NAME} \
--password "${IAM_PASSWORD_NEW}"
- 指定したユーザ名にログインプロファイルがあるか、
iam get-login-profileを実行して確認します。
aws iam get-login-profile \
--user-name ${IAM_USER_NAME} \
--query 'LoginProfile.UserName' \
--output text
１１．IAMログインプロファイルの削除
- ログインプロファイルを削除するユーザ名を指定して、
iam delete-login-profileを実行します。
aws iam delete-login-profile \
--user-name ${IAM_USER_NAME}
１２．後始末
ハンズオン環境が不要になったら、ハンズオン手順の後始末以降の手順を実施します。
後始末で実行したコマンドは以下の通りです。
APIアクセスキーの全削除
- 登録されているアクセスキーをすべて取得します。
ARRAY_IAM_ACCESS_KEY_IDS=$( \
aws iam list-access-keys \
--user-name ${IAM_USER_NAME} \
--query 'AccessKeyMetadata[].AccessKeyId' \
--output text \
) \
&& echo ${ARRAY_IAM_ACCESS_KEY_IDS}
- ユーザ名とアクセスキーを指定して
iam delete-access-keyで削除します。- すべて削除する場合は、for文でアクセスキーの数の回数実行します。
for i in ${ARRAY_IAM_ACCESS_KEY_IDS}; do
aws iam delete-access-key \
--user-name ${IAM_USER_NAME} \
--access-key-id ${i}
done
- ユーザ名に紐づくアクセスキーがないことを
iam list-access-keysで確認します。
aws iam list-access-keys \
--user-name ${IAM_USER_NAME} \
--query "AccessKeyMetadata[].UserName" \
--output text
AWS認証ファイルの削除
- viなどエディタで .aws/credentials を開き、今回作成したIAMユーザに関する行のみを削除します。
[handson-cli-user] aws_access_key_id= aws_secret_access_key=
- 同様にviなどで .aws/config を開き、今回作成したIAMユーザに関する行のみを削除します。
[profile handson-cli-user] region=ap-northeast-1
IAMユーザのIAMグループからの削除
- グループから削除させるユーザを指定して
iam remove-user-from-groupを実行します。
aws iam remove-user-from-group \
--group-name ${IAM_GROUP_NAME} \
--user-name ${IAM_USER_NAME}
IAMユーザーの削除
- 削除するIAMユーザを指定して
iam delete-userを実行します。
aws iam delete-user \
--user-name ${IAM_USER_NAME}
IAMグループのポリシーデタッチ
- デタッチするIAMロールのARNとIAMグループを指定して、
iam detach-group-policyを実行します。
aws iam detach-group-policy \
--group-name ${IAM_GROUP_NAME} \
--policy-arn ${IAM_POLICY_ARN}
IAMグループの削除
- 削除するIAMグループ名を指定して
iam delete-groupを実行します。
aws iam delete-group \
--group-name ${IAM_GROUP_NAME}
Cloud9用ロールからのポリシーのデタッチ
- IAMロール"handson-cloud9-environment-role"からIAMポリシー"IAMFullAccess"をデタッチします。
- IAMフルアクセスを残したままにしておくと、不正に権限設定されてしまう恐れがあります。 ※GUIからデタッチします。手順は割愛します。
最後に
次回（今日）はこの続きでIAMポリシに特化したところになります。 次回もしっかりついていき理解を深めたいです。
※次回のイベントページ
