AWS Black Belt Techシリーズ AWS IAM

AWS Identity and Access Management
(AWS IAM)
AWS Black Belt Tech Webinar 2015 (旧マイスターシリーズ)
アマゾンデータサービスジャパン株式会社
シニアセキュリティコンサルタント高田智己
2015.06.17
1

質問を投げることができます！
• Adobe Connectのチャット機能を使って、質問を書き込んでく
ださい。（書き込んだ質問は、主催者にしか見えません）
• Twitterへツイートする際はハッシュタグ#awsblackbeltをご
利用ください。
①画面右下のチャッ
トボックスに質問を
書き込んでください
②吹き出しマークで
送信してください
AWS Black Belt Tech Webinar へようこそ！
2

AWS Black Belt Tech Webinar 2015
• 今後の配信予定
– 6/24（水）Amazon EC2 Container Service
お申し込み：http://bit.ly/1Gq0gQQ
7月は「AWS 運用機能月間」です！
– 7/1（水）AWS Cloud Watch/Cloud Watch Logs
– 7/8（水）AWS support & Trusted Advisor
• イベントスケジュール
http://aws.amazon.com/jp/event_schedule/
3

アジェンダ
• IAMの概要
• IAMポリシー
• IAMロール
• AWS Security Token Service
• まとめ
4

アジェンダ
• IAMの概要
• IAMポリシー
• IAMロール
• まとめ
5

AWS Identity and Access Management (IAM)
• AWS操作をよりセキュアに行うための認証・認可の仕組み
• AWS利用者の認証と、アクセスポリシーを管理
 AWS操作のためのグループ・ユーザー・ロールの作成が可能
 グループ、ユーザーごとに、実行出来る操作を規定できる
 ユーザーごとに認証情報の設定が可能
開発チーム運用チーム
6

IAM動作イメージ APIやマネジメントコンソールからの
アクセスに対して、権限をチェック
全操作可能
S3はすべて
操作可能
S3参照だけ
7

IAM ユーザー
• AWS操作用のユーザー
– 1AWSアカウントで5000ユーザーまで作成可能
• ユーザーごとに設定可能な情報
– ユーザー名
• IAMユーザーの識別と、マネジメントコンソールへのログインに使用
• 64文字までのアルファベット、数字、+=,.@-_
– パス（オプション）
• ユーザーにオプションとしてセットできる情報
• パスを元にユーザーの検索が可能
• 組織階層やプロジェクトなどをセット例）/aws/sa/
• 512文字までのBasic Latin文字(アルファベット、数字、!"#$%&'()=~|-^@`{[}]*:+;?_)
• 開始と終了が/であること
– 所属グループ
• 10のグループまで設定可能
– パーミッション
• AWSサービスへのアクセス権限
• JSON形式でポリシーを記述
8

IAM グループ
• IAMユーザーをまとめるグループ
– 1AWSアカウントで100グループまで作成可能
• グループに設定可能な情報
– グループ名
• グループの識別に使用
– パス（オプション）
• 組織階層などをセット例）/aws/
– パーミッション
• グループに設定したパーミッションは、IAMユーザーに付与したパーミッションと同時に評価
• 評価方法は後述
Group
9

IAMで使用する認証情報（１）
• アクセスキーID/シークレットアクセスキー
– REST,Query形式のAPI利用時の認証に使用
– 2つまで生成可能
– Active/Inactiveの切り替え
– 情報の置き場には注意
• GitHUB
• AMIの中への埋め込み
• ワード文書等に記述
• 非暗号化メールの中に記述
• X.509 Certificate
– SOAP形式のAPIリクエスト用
– OpenSSLなどで証明書を作りアップロード
10

IAMで使用する認証情報（２）
• AWSマネジメントコンソールへのログインパスワード
– デフォルトは未設定（ログインできない）
– 128文字までのBasic Latin文字
– パスワード変更時のポリシー設定が可能
• AWSアカウントごとに設定
• 最低パスワード長、大文字小文字等
• MFA(多要素認証)
– ハードウェアMFAと仮想MFAのいずれかを利用可能
– ハードウェアMFA
• Gemalto社からAWS用のデバイスを購入
– Tokenタイプ
– カードタイプ
• http://onlinenoram.gemalto.com/
– 仮想MFA
• スマートフォンやPCにインストール
• Google Authenticatorなど、TOTP実装のソフトが利用可能
11

AWSルートアカウントは極力利用しない
 AWSルートアカウントはIAMで設定するアクセ
スポリシーが適用されない強力なアカウント
 十分に強度の強いパスワードを設定した上、通
常は極力利用しないような運用を
 Security CredentialのページからAccess Keyの
削除（ただしAccess Keyを使用していないか確
認が必要）
12

MFAによるアカウントの保護
 多要素認証（MFA）によるなりすましの防止
 AWSルートアカウントはMFAで保護し通常利用しない運用に
ハードウェア
ソフトウェア
（認証情報コピー不可）
ソフトウェア
（認証情報コピー可能）
製品 Gemalto Google Authenticator Authy
形式トークン型／カード型スマホアプリスマホアプリ
コスト有料（2,000円程度）無料無料
保管持ち歩くことも可能だし、金庫など
に厳重に保管も可能
常に持ち歩く常に持ち歩く
交換紛失／故障時は、再登録
交換時のために予備の準備が必要
紛失／機種変更時は、再登録機種交換時に認証情報を引き継げる
セキュ
リティ
デバイス内に閉じているため一般的
に高い
複数デバイス登録できたりもするた
め、登録時のセキュリティ担保が必
要
認証情報引き継げるため、引き継ぎ
時のセキュリティ検討が必要
13

強度の強いパスワードポリシーの利用
AWSの管理コンソールにログインするために
必要となるIAMユーザーのパスワードには以
下のようなパスワードポリシーを持たせるこ
とが可能
• パスワードの最小文字数
• 大文字英字の要求
• 小文字英字の要求
• 数字を含めることの要求
• 特殊文字の要求
• ユーザー自身によるパスワード変更の許可
• パスワードの有効期限の設定
• パスワードの再利用の制限
• パスワードが期限切れになった場合管理者によ
るリセットの有無
14

認証情報の定期的なローテーション
 IAMユーザーのパスワードやAccess
Key/Secret Access Keyは定期的にローテー
ションすることを推奨
 認証情報の利用状況はIAMのCredential Report
機能で確認可能
 ユーザーの作成日時
 最後にパスワードが使われた日時
 最後にパスワードが変更された日時
 MFAを利用しているか
 Access KeyがActiveか
 Access Keyのローテートした日時
 Access Keyを最後に使用した日時
 Access Keyを最後に利用したAWSサービス
 証明書はActiveか
 証明書のローテートした日時
15

IAMユーザーのパスワードローテーション
• IAMのパスワードポリシーで
ユーザーがパスワードを変更
できるように設定
• パスワードに有効期限を設け
ることで利用者が自分で定期
的にパスワードをローテー
ションできるようにする
16

アクセスキーのローテーション
 IAMユーザーの「認証情報」の「アクセス
キー」から「アクセスキーの管理」を選択
 「アクセスキーの作成」で新しい認証情報の
作成（２つまで）
 新しい認証情報でテストを行い、古
いAccess KeyはInactiveにする
 万が一問題が起きた時は再び
Activateすることが可能
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/Using_RotatingCredentials.html17

• パスワードやアクセスキーのロー
テーションなど、認証情報ライフサ
イクルの要件の結果を監査可能
• 認証情報レポートは、カンマ区切り
値（CSV）ファイルとしてダウン
ロード可能
• 使用していない認証情報は削除！
IAM認証情報レポート（Credential Report）
Credential Report
https://blogs.aws.amazon.com/security/post/Tx1GZCHQC7LR3UT/New-in-IAM-Quickly-Identify-
When-an-Access-Key-Was-Last-Used
18

アジェンダ
• IAMの概要
• IAMポリシー
• IAMロール
• まとめ
19

IAMポリシー
• AWSアクセスに対する権限設定
• JSON形式のアクセスポリシー言語でアクセス条件を記述
– http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/policy-reference.html
{
"Statement
{
"Effect": "Allow",
"Action": [
" s3:ListBuckets ",
" s3:Get ＊ "
],
"Resource": [
" arn:aws:s3:::mybucket "
],
"Condition": {
"IpAddress": {
"aws:SourceIP": [“176.32.92.49/32“]
}
}
}
]
}
このブロックを1条件として、
アクセス権限をチェック
20

管理ポリシーとインラインポリシー
2015年２月より従来からのポリシー（インラインポリシー）に加え管理ポリシーがIAMポリシーの
分類として追加。管理ポリシーは独立したポリシーであり複数のユーザーやグループ等にアタッチし
て利用することが可能。
分類詳細
管理ポリシー：
AWS アカウント内の複数のユーザー、グルー
プ、およびロールにアタッチできるスタンドア
ロンポリシー。５世代まで変更を保管でき、
ロールバックも可能。
AWS管理ポリシー：
AWS が作成および管理する管理ポリシー
カスタム管理ポリシー：
AWS アカウントで作成および管理する管理ポリ
シー
インラインポリシー：
従来のIAMポリシーと同じ内容
自身で作成および管理するポリシーで、単一のユー
ザー、グループ、またはロールに直接埋め込まれる
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/policies-managed-vs-inline.html
New！2015年2月
21

AWS管理ポリシー
AWS管理ポリシーは、AWSが作成および管理するスタンドアロンポリシー。一般的なユースケースに基づいたAWS管理ポリ
シーが用意されており、利用者は事前に定義されたAWS管理ポリシーを選択して利用することが可能。
• 管理者用（すべてのアクセス）、パワーユー
ザー用（IAMを除くすべてのアクセス）、お
よび AWSサービスへのその他のさまざまな
レベルアクセス用の一般的なアクセス権限を
定義
• 新しいAWSサービスがリリースされたり、既
存のサービスで新しいAPI が利用できるよう
になったり、ポリシーに新しいサービスまた
はAPI のアクセス権限を含める必要が発生し
た場合に、AWS管理ポリシーが対応
• 事前定義されているものなので、1つのAWS
管理ポリシーを複数のAWSアカウントのIAM
エンティティに、また1つのAWSアカウント
の複数のIAMエンティティにアタッチ可能
22

カスタマー管理ポリシー
カスタマー管理ポリシーは、自身のAWSアカウントで管理できるスタンドアロンポリシー。AWSアカウントの複数のIAMエン
ティティにカスタマー管理ポリシーをアタッチすることが可能。
• 利用者がカスタム可能な管理ポリシー
• 同じポリシーを複数のIAMエンティティにアタッチ
できる
• 用意されているポリシーでは要件を満たせない場合
等にカスタマー管理ポリシーを適用
23

インラインポリシー
インラインポリシーは、1つのIAMエンティティ（ユーザー、グループ、またはロール）に埋め込まれたポリシー。IAMエン
ティティの一部であり、IAMエンティティの作成時、またはそれ以降に、ポリシーを作成してIAMエンティティに埋め込まれる。
• ユーザー、グループ、またはロールの一部
• 一つのポリシーを共有することはできない
• ポリシーの変更に関して、該当するインラインポ
リシー全てを個々に変更する必要がある
24

管理ポリシーの使い分け
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/policies-managed-vs-inline.html
• 管理ポリシーのメリット
• 再利用性
• 変更管理の一元化
• バージョニング
• 管理ポリシーの制限
• AWS アカウントあたりのカスタマー管理ポリシー数: 1000
• 管理ポリシーあたりのバージョン数: 5
• IAM のユーザー、グループ、ロールごとにアタッチされる管理ポリシー数: 2
• 管理ポリシーに関する留意点
• 管理ポリシーの制限が問題となるケース
• 意図しないIAMエンティティに管理ポリシーが誤ってアタッチされるリスクを許
容できないケース
• AWS管理ポリシーに関しては、AWSによる変更が問題となるケース
25

管理ポリシーの使用例
http://aws.typepad.com/sajp/2015/04/how-to-create-a-limited-iam-administrator-by-using-
managed-policies.html
AWS Account
カスタマー管理ポリシー AWS管理ポリシー
制限付きIAM管理者
開発者
DynamoDBへの
Full Access権限
S3の特定バケット
への権限
IAMのRead Only権限
限定されたIAMの運用権限
特定の管理ポリシーの
アタッチやデタッチ
IAMユーザーの
作成・削除等
• ユーザーの作成や削除等IAMの運
用・管理の一部を委譲する場合
• ベースラインになるIAMのRead
Only権限は事前定義されている
AWS管理ポリシーを利用
• 委譲したい特定業務はカスタマー
管理ポリシーを作成
• どの管理ポリシーを操作できると
いった細かいアクセスコントロー
ルも可能
26

アクセス条件の記述
{
"Effect": "Allow",
"Action": [
" s3:ListBuckets ",
" s3:Get ＊ "
],
"Resource": [
"arn:aws:s3:::mybucket"
],
"Condition": {
"IpAddress": {
"aws:SourceIP":
[“176.32.92.49/32“]
}
}
}
Effect:
許可の設定なら”Allow”
拒否の設定なら”Deny”
Action:
対象となるAWS操作を指定
Resource:
対象となるAWSリソースを指定
Condition:
このアクセス制御が有効になる
条件の設定
この例の場合、
「アクセス元IPが176.32.92.49だったら、S3のListBucketsとGet系の操作を許
可する」という意味
27

Action
• 「Action」は、操作自体に対する設定
 ec2:runInstances
 ec2:AttachVolume
 s3:CreateBucket
 s3:DeleteObject
 ワイルドカード指定可能
 例）ec2:Describe*
 指定の操作以外の場合は「NotAction」を使用
 例）“NotAction”: “iam:*” (IAMの操作以外を許可する）
"Action": [
" s3:ListBuckets",
" s3:Get*"
]
28

Resource
• 「Resource」は操作対象を指定する設定
 EC2インスタンス
 EBSボリューム
 S3バケット
 S3オブジェクト
• ARN(Amazon Resource Name)で記述
 “arn:aws:”で始まる文字列
 arn:aws:service:region:account:resource
 例） arn:aws:s3:::mybucket
• 指定リソース以外の場合は「NotResource」を使用
– 例） “NotResource” : “arn:aws:s3:::hoge”
"Resource": [
" arn:aws:s3:::mybucket"
]
http://docs.aws.amazon.com/ja_jp/general/latest/gr/aws-arns-and-namespaces.html29

Condition
• Resourceに対するActionを許可（もしくは拒否）するかどうかの
条件設定
• ポリシー変数（条件キー）に対して、演算子を用いて条件を指定
"Condition": {
"IpAddress": {"aws:SourceIP": “176.32.92.49/32“ }
}
演算子ポリシー変数条件値
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/AccessPolicyLanguage_ElementDescriptio
ns.html#Condition
30

Conditionの演算子
• 文字列
– 完全一致、部分一致など
• 数値
– 一致、以上、以下など
• 日付および時間
– 一致、日付の後先など
• ブール
• IP アドレス
– 指定のアドレス、指定範囲など
• Amazon リソース名
– 完全一致、部分一致など
• ...IfExists
– 上記演算子に付与。変数がない場合無視
• 条件キーの有無
"Condition": {
"StringEquals":
{"ec2:ResourceTag/stack":
“prod"}
}
"Condition": {
“streq":
{"ec2:ResourceTag/stack":
“prod"}
}
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/AccessPolicyLanguage_ElementDescriptio
ns.html#Condition
31

ポリシー変数
• 全てのリクエストで利用できるキー
– aws:CurrentTime
– aws:EpochTime
– aws:TokenIssueTime
– aws:principaltype
– aws:SecureTransport
– aws:SourceIp
– aws:UserAgent
– aws:userid
– aws:username
• AWSサービス固有のキー
– s3:prefix
– sns:Protocol
– ec2:ResourceTag/tag名など
"Condition": {
"IpAddress":
{"aws:SourceIP":
“176.32.92.49/32“}
}
例えば、API呼び出し/コンソール利用を指定
のIPアドレスだけに絞りたい場合に利用。
注）コンソールに関してはログインはできて
も操作する権限がないという状態になります。
32

IAMをサポートするサービス
IAMのサポート対応状況
アクションレベルの
権限
ほとんど全てのAWSサービスでサポート
（AWS Supportを除く）
リソースレベルの
権限
多くのAWSサービスに対応。下記はサポートしていない
ECS, Auto Scaling, CloudFront, Import/Export, ElastiCache,
Direct Connect, Directory Service, CloudTrail, Config,
CloudWatch, CloudHSM, EMR, AppStream, SES, Cognito,
Mobile Analytics, WorkDocs
タグベースの
アクセス権限
下記のみサポート
EC2, RDS, VPC, Data Pipeline, SWF
一時的なセキュリティ
認証のサポート
ほとんど全てのAWSサービスでサポート
（Cloud HSMを除く）
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/Using_SpecificProducts.html
2015年６月現在
33

複数Conditionの”OR”と”AND”
• Condition下のブロックはAND、演算子に対する値はOR
• この例の場合、「2013/7/16の12:00から15:00の間に、ソース
IP192.168.176.0/24もしくは192.168.143.0/24のネットワークからアクセス
したリクエスト」を意味する
"Condition" : {
"DateGreaterThan" : {
"aws:CurrentTime" : "2013-07-16T12:00:00Z"
},
"DateLessThan": {
"aws:CurrentTime" : "2013-07-16T15:00:00Z"
},
"IpAddress" : {
"aws:SourceIp" : ["192.168.176.0/24","192.168.143.0/24"]
}
} OR
AND
AND
34

ユーザーのStatementユーザーのStatement
アクセス可否の決定ロジック
• アクセス制御の条件は複数設定可能
– ユーザー・グループごとに複数。相反する条件の設定も可能
• すべてのアクセスはデフォルトで拒否(デフォルトDeny)
– アクセス権限に“Allow”の条件があった場合、アクセス許可
– ただしアクセス権限に１つでも“Deny”の条件があった場合、アクセス拒否(明示的なDeny)
– デフォルトDeny < Allow < 明示的なDeny
グループのStatement
Allow
該当なし
（デフォルトDeny)
結果：Allow
Allow
結果：Deny
グループのStatement
Deny
35

IAM Policy Generator
• IAMのウィザード内、もしくは単体のサイトで利用可能
http://awspolicygen.s3.amazonaws.com/policygen.html
36

ポリシー言語の文法チェック
• ポリシー保管時にポリシー言語の文法チェック、自動フォーマットを実施
• 「Validate Policy」により明示的な確認が可能
• ポリシードキュメントは最大5バージョン分管理可能
New！2015年3月
37

IAM Policy Simulator
• IAMのウィザード内、IAMユーザー/グループ/ロールのPermissionsタブ、
もしくは単体のサイトで利用可能
https://policysim.aws.amazon.com/home/index.jsp
• プロダクションへの実装前にポリシーをテスト可能
– パーミッションのトラブルシューティング
– Conditionの条件を入れたテスト
– ポリシー変数を入れたテスト
New！2015年５月
38

IAM Policy Validator
• 自動的に既存の IAMポリシーを調べ、IAMポリシーの文法に準拠しているか確認
• ポリシーに対する推奨の変更を提示
• Policy Validator を使用できるのは、準拠していないポリシーがある場合のみ
1) IAMコンソールにポリシーの文法を直す旨の表示。
２) IAMポリシーの文法に準拠していないポリシーのリスト。
３) ポリシーに対する推奨の変更が表示され、それを適用することも
可能
39

ユーザーベースとリソースベース
• ポリシーは、ユーザーやグループ以外に、リソースにも紐付け可能
• S3バケット、SQSのキューなどに対してポリシーが適用可能
– 「特定のIPアドレスからしかアクセスできないバケット」などの設定が可能
ユーザーベースリソースベース
40

リソースベースのポリシーによるクロスアカウントアクセス
• AWSアカウントを超したアクセス許可
– S3,SQS,SNSなどで利用可能
{
"Statement" : {
"Effect":"Allow",
"Principal" : {
“AWS”:“arn:aws:iam::Account Bの番号:root"
},
"Action":"s3:*",
"Resource":"arn:aws:s3:::mybucket/*"
}
}
1.Account Aのバケットに以下のポリシーを設定
2.Account Bに、mybucketへアクセス権限付与
Principalは、実行を
しているユーザーに
対する条件設定
41 http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/roles-resourcebasedpolicies-
compare.html

記録される情報には以下のようなものが含まれる
• APIを呼び出した身元（Who）
• APIを呼び出した時間（When）
• API呼び出し元のSource IP（Where）
• 呼び出されたAPI（What）
• APIの対象となるAWSリソース（What）
• 管理コンソールへのログインの成功・失敗
（rootアカウントの失敗は2015年6月現在未サポート）
AWS CloudTrailはAWSアカウントで利用されたAPI Callを記録し、S3上にログを保存するサービス。
AWSのリソースにどのような操作が加えられたか記録に残す機能であり全リージョンでの有効化を推奨。
適切なユーザーが与えられた権限で環境を操作しているかの確認と記録に使用。
ユーザーのアクティビティの記録
42

アジェンダ
• IAMの概要
• IAMポリシー
• IAMロール
• まとめ
43

IAMロールとは？
• AWSサービスやアプリケーション等、エンティティに対してAWS
操作権限を付与するための仕組み
– 例えば実行するアプリケーションにロールを付与する事で、そのアプリケーションから
AWSを操作出来るようになる
• IAMユーザーやグループには紐付かない
• 設定項目は、ロール名とIAMポリシー
– 最大10,240文字のポリシーが設定可能
• EC2ほか、Beanstalk,Data Pipelineなどでも利用
44

EC2にはIAMロールの利用
EC2のようなAWSサービスに対してAWS操作権限を付与するための仕組み。
IAMユーザーの認証情報のようなものをOS/アプリケーション側に持たせる必要がなく、認証情報の漏えいリ
スクを低減可能。IAMロールによる認証情報はAWSが自動的にローテーション。
プログラム
IAM Role
メタデータ
IAMロール利用
プログラム
IAMユーザー利用
認証情報をEC2内に持た
せる。認証情報の保管・
ローテーション等の検討
が必要
IAMロールによる権限は
EC2上に恒久的に保管され
るものではなくテンポラリ。
ローテーション等は自動で
行われる。
IAMロール利用の利点
• EC2上のアクセスキーの管理が容易
• 認証情報はSTS(Security Token Service)で生成
• 自動的に認証情報のローテーションが行われる
• EC2上のアプリケーションに最低権限を与えること
に適している
• AWS SDK及びAWS CLIのサポート
• IAMユーザーの認証情報を外部に漏えいしてしまう
リスクを低減させる
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/roles-resourcebasedpolicies-
compare.html
45

メタデータからの認証情報取得
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/EC2_Admin
{
"Code" : "Success",
"LastUpdated" : "2015-06-12T07:10:30Z",
"Type" : "AWS-HMAC",
"AccessKeyId" : "ASIAJY2YJ5S2ZYK25BLQ",
"SecretAccessKey" : "Kp1NblZ7mov/4ln7GLu8dqvN5GztXXXXXXXXXXXXXX",
"Token" : "AQoDYXdzELP//////////wEa0ANmvPx2CpTfOWjuPSMQ+/XXXXXXXXXXXXXXXX",
"Expiration" : "2014-06-08T08:17:52Z"
}
Role名
STSのセッショントークン有効期限
IAM Roleを設定したEC2インスタンス内から取得
46

AWSCredentials credentials =
new BasicAWSCredentials(“アクセスキー”,”シークレットキーID”);
AmazonEC2 ec2 = new AmazonEC2Client(credentials);”
ec2.describeInstances();
• AWS SDKを利用する場合、認証情報取得と有効期限切れ前の再取得
を自動的に実施可能
AWS CLIはIAM Roleに対応済み
• http://aws.amazon.com/jp/cli/
AmazonEC2 ec2 = new AmazonEC2Client();”
ec2.describeInstances();
IAM Role利用後
IAM Role適用のインスタンス
上では、認証情報の設定が不要
47

アジェンダ
• IAMの概要
• IAMポリシー
• IAMロール
• まとめ
48

AWS Security Token Service(STS)とは
• 一時的に利用するトークンを発行するサービス
• 動的にIAMユーザーを作成し、ポリシーを適用できる
– STSはユーザー数制限なし
• IAM Role for EC2は、このSTSを利用
– Assume Role
49

Temporary Security Credentialsとは
• AWSに対する、一時的な認証情報を作成する仕組み
– 期限付きの認証情報（認証チケット）
• ユーザーに対して、以下の3つのキーを発行
 アクセスキー（ASIAJTNDEWXXXXXXX）
 シークレットアクセスキー（HQUdrMFbMpOHJ3d+Y49SOXXXXXXX）
 セッショントークン
（AQoDYXdzEHQakAOAEHxwpf/ozF73gmp9vZDWDPkgFnzwSG/3ztBw9Z4IUslNNn503+3Se
N0nwI3wcdLR8y8Ulv9cnksMrBGjRVrJl2xg+/CRnI9nJ1tteHp6yso3sP0BVvnxLpNwyIUpHrcT
Ht+8v2P6Y9/VX2zl8Hc/cy6La0r1/GuiHb9NEwqt6VIgjPWCZzHXzX8XsUObKhMnAUkY2IdTM
rNKXcqVk8VbC6BNTqWsMIIfQPz9fDjKK1ifAFmHVSWvUxio94n+ebXXpy1NuHnt5JEGV34VPL
MsrpZ86b+eulKNE1suoQ8TM5E1O66rYwizkq6w+cJovUnMxg6ESASBvolsrEioLiP+SE7cX1i8g
RrSG9/KT59GYTlhTzStjjFroCAqZu4KYplGUMCDl1g0twrdXeymsu3GG70Qwu0wSi3WjkW8VPi
ajahJXCEgp6gIgXElwkrBO01H5Y9NNDEyQaq8ocOGBPVRu+DS9LMs9SHASXimnnVeIN+1FV
kXXXXXXXXXXXXXXXXXXXXXXXX）
50

AWS アカウント
IAMユーザー
Temporary
Security
Credentials
IAMの権限階層
Permissions Example
すべての操作が可能 Action: *
Effect: Allow
Resource: *
(implicit)
ユーザーやグループに対して
割り当てられた権限
Action: [‘s3:*’, ‘sts:Get*’]
Effect: Allow
Resource: *
トークン作成時に決定される Action: [ ‘s3:Get*’ ]
Effect: Allow
Resource: ‘arn:aws:s3:::mybucket/*’
51

認証情報を取得する方法
• Self-sessions (GetSessionToken)
• Federated sessions (GetFederationToken)
• Assumed-role sessions
• AssumeRole
• AssumeRoleWithWebIdentity
• AssumeRoleWithSAML
Session
Access Key Id
Secret Access Key
Expiration
Session Token
Temporary
Security
Credentials
52

認証情報取得のためのAPI
STSで利用できるAPI Action 概要
GetSessionToken 自身で利用するIAMユーザーのtemporary security
credentialsを取得するためのアクション
GetFederationToken 認証を受けたFederatedユーザーのtemporary security
credentialsを取得するためのアクション
AssumeRole 既存のIAMユーザーの認証情報を用いて、IAM Roleの
temporary security credentialsを取得するためのアクショ
ン。
AssumeRoleWithWebIdentity AmazonやFacebook、Googleによる承認情報を使用して
ロールを引き受け、temporary security credentialsを取得
するためのアクション
AssumeRoleWithSAML idPによる認証とSAMLのアサーションをAWSにポストする
ことでロールを引き受けtemporary security credentialsを
取得するためのアクション
http://docs.aws.amazon.com/STS/latest/UsingSTS/Welcome.html53

認証情報の有効期限
• トークンのタイプにより有効期限は様々[Min/Max/Default]
• Self (Account) [15 min / 60 min / 60 min]
• Self (IAM User) [15 min / 36 hrs / 12 hrs]
• Federated [15 min / 36 hrs / 12 hrs]
• Assumed-role [15 min / 60 min / 60 min]
• 発行したチケットは延長や期間短縮は出来ない
• 即座にアクセス制御したい場合は、発行に使用したIAMユーザーやIAMロールの権限を変更する
Session
Access Key Id
Secret Access Key
Expiration
Session Token
54

AWS STS in all AWS regions New！2015年2月
• STSのエンドポイントが全リージョンに拡張
• デフォルトではSTSはグローバルサービスとして利用
単一エンドポイント：https://sts.amazonaws.com
• IAMのAccount Settingsより各リージョンでSTS機能を
アクティベート可能
– レイテンシーの低減
– 冗長性の構築
• 有効化したリージョンでのCloudTrailの使用を忘れない
http://docs.aws.amazon.com/ja_jp/STS/latest/UsingSTS/sts-enableregions.html55

ユースケース: IAMロールによるクロスアカウントアクセス
• あるアカウントのユーザーに別のアカウントのIAMロールに紐づける機能
• 例えば開発アカウントを使って、本番環境のS3データを更新するようなケース
で利用
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/roles-walkthrough-crossacct.html
開発アカウント用
ロール
本番アカウント開発アカウント
AssumeRole
認証情報
開発者アカウント用ロールの
権限でアクセス
56

本番アカウント
Acct ID: 111122223333
s3-role
{ "Statement": [
{
"Effect": "Allow",
"Action": “s3:*",
"Resource": "*"
}
]
}
開発アカウント
Acct ID: 123456789012
開発者Aのアクセスキーによ
る認証
S3-roleを引き受け、一時的なア
クセスキーを取得
一時的なアクセスキーによる
S3APIの呼び出し
{ "Statement": [{
"Effect": "Allow",
"Action": “sts:AssumeRole",
"Resource": "arn:aws:iam::111122223333:role/s3-role"
}
]
}
{ "Statement": [{
"Effect":"Allow",
"Principal":{"AWS":"arn:aws:iam::123456789012:root"},
"Action":"sts:AssumeRole"
}
]
}
IAMロールによるクロスアカウントアクセスの動作
S3-roleを誰が引き受けられるか定義したポリシーをs3-roleに設定本番アカウントのs3-roleの引き受けを許可するポリシーを開発者Aに設定
開発者A(IAM User)
s3-roleに付与されているポリシー
STS
57

クロスアカウントアクセスのためのMFA保護
• AWSアカウント間でのアクセスのためのMFA保護を追加する機能
• AWSマネージメントコンソールでroleを作成する際に、Require MFAのチェックボッ
クスを選択することで設定可能
• MFA認証されたユーザーのみが認証情報を受けとることが可能に
– AssumeRole
– GetSessionToken
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {"AWS": "Parent-Account-ID"},
"Action": "sts:AssumeRole",
"Condition": {"Null": {"aws:MultiFactorAuthAge": false}}
}
]
}
http://docs.aws.amazon.com/IAM/latest/UserGuide/MFAProtectedAPI.html58

Switch Role
• IAMユーザーからクロスアカウントアクセス用IAMロールにコンソールから切
替が可能
– 必ずしも別アカウントである必要はなく、同じアカウントでもOK
• 必要な時のみIAMユーザーの権限を “昇格”させる
– IAMユーザーには読み取り権限のみを付与
– IAMロールには更新権限を付与
New！2015年1月
https://aws.amazon.com/blogs/aws/new-cross-account-access-in-the-aws-management-
console/
59

Identity Federation（ID連携）とは
• 企業・組織の認証機能と、AWSの認証を紐づける機能
• 例えばLDAP認証したユーザーに対してS3のアクセス権
をつける、といった連携が可能
• 認証したユーザーごとにTemporary Security
Credentials（一時的なアクセスキー）を発行
60

ユースケース: API FederationによるS3アクセス
(Sample - http://aws.amazon.com/code/1288653099190193)
• AWS API (S3*)へのアクセスを付与
• Identity provider
– Windows Active Directory
– ADグループメンバーシップに応じた権限付与
• GetFederationToken APIの利用
61

5
• Access Key
• Secret Key
• Session Token
Get Federation Token
Response
AWS API Federationの動作
Customer (Identity Provider) AWS Cloud (Relying Party)
AWS Resources
User
Application
Active
Directory
Federation
Proxy
4
Get Federation
Token Request
3
2
S3 Bucket
with Objects
Amazon
DynamoD
B
Amazon
EC2
認証情報の
リクエスト
1
認証情報の
受け取り
6
APP
Federation
Proxy
• GetFederationTokenRequest()の利用には
Proxy上のIAMユーザーのクレデンシャルを
利用
• そのIAMユーザーの権限はフェデレーション
ユーザーの権限をカバーしている必要がある
• Proxyはこの特権的なクレデンシャルをセ
キュアに保管する必要がある
AWS APIの
呼び出し
7
http://aws.typepad.com/aws_japan/2011/08/aws-identity-and-access-management-now-with-
identity-federation.html
62

ユースケース: Console Federation
(Sample - http://aws.amazon.com/code/4001165270590826)
• 既存のIdPによる管理コンソールへのシングルサインオン
• Identity provider
– Windows Active Directory
– ADグループメンバーシップに応じた権限付与
– ADグループに応じたIAMロールの選択
• AssumeRole APIの利用
63

Console Federationの動作
Customer (IdP) AWS Cloud (Relying Party)
AWS
Management
Console
Browser
interface
Corporate
directory
Federation
proxy
1 URLにアクセス
3
2
コンソールへのリ
ダイレクト
10
ログインURLの作成9
4 List RolesRequest
8
Assume Role Response
Temp Credentials
• Access Key
• Secret Key
• Session Token
7 AssumeRole Request
ロールを選択でき
るcombo
Boxの作成
6
Federation
proxy
• AssumeRoleRequest()を利用するため
Proxy上のIAMユーザーのクレデンシャ
ルを利用
• IAMユーザーの権限はListRolesと
assume roleを行えるものが必要
• Proxyはこのクレデンシャルをセキュア
に保管する必要がある
5
List RolesResponse
64

SAML 2.0によるSSO Federation
• Security Assertion Markup Language (SAML）のサポート
• AWSリソースへのアクセスにSAMLを利用した既存のID管理ソフトウェアを利用
(ADFS, Shibboleth etc)
• AWS管理コンソールへのSSOにも利用可能
• 新しいassumeRoleWithSAML APIによりAPIフェデレーション実施
65

SAMLによるConsole Federationの動作
Enterprise (Identity Provider) AWS (Service Provider)
AWS Sign-in
Browser
interface
Corporate
identity
store
Identity
provider
1内部ポータルへのアクセス
ポータルはIdPとしても機能
2 認証応答
の受け取り
5
AWS管理コンソールへ
のリダイレクト
3
新しいAWSのサインイン・
エンドポイントに対して
SAMLアサーションをポスト
4
http://aws.typepad.com/aws_japan/2013/11/aws-identity-and-access-management-using-
saml.html
66

Console Federationのメリット
• アカウント管理が統合され、リスクが低減する
• 既存のユーザ情報をそのまま利用
• 既存の権限ベースでの管理が可能
• 既存と同様のポリシーの利用が可能
– アカウントロックポリシーや、パスワード管理ポリシー
• 入退社など一元的な管理が可能
• イントラネットからのみアクセス可能なログイン画面
67

ユースケース: Web Identity Federation
• AssumeRoleWithWebIdentityの利用
– Web Identity Providerの認証を元に、AWSへのアクセスキーを発行
するサービス
• 認証を確認するサーバが不要
– 例えばスマートフォンアプリとS3だけでシステムが作成可能
• 現在Google,Facebook,Amazon(Login with Amazon), Amazon
Cognito及びOIDC準拠のIdPに対応
• IAM Roleを使用して実現
68

Web Identity Federationの動作
AWS Cloud
US-EAST-1
EU-WEST-1
AP-SOUTHEAST-1
AWS Services
Amazon
DynamoDB
S3
ユーザー認証
1
6
7
IAM
EC2
Instances
Tokenの
検証
4
Web identity
Provider
3
5
ポリシー
の確認
Id Token
の取得
2
Mobile App
http://aws.typepad.com/aws_japan/2013/05/aws-iam-now-supports-amazon-facebook-
and-google-identity-federation.html
69

OIDC-Based Web Identity Federation with Cognito
us-east-1
アプリケーション
Security
Token Service
DynamoDB
OpenID
Connect準拠の
IdP
2
4
STSの認証情報を用いて
AWSサービスにアクセス
リダイレクトして認証の実施
ID Tokenの取得
https://blogs.aws.amazon.com/security/post/Tx3LP54JOGBE0AY/Building-an-App-using-
Amazon-Cognito-and-an-OpenID-Connect-Identity-Provider
3
エンドユー
ザー
1
アプリケーションの利用
Cognito
Cognito tokenを用い
STSより認証情報の取得
Developer’s AWS Account
5
ID TokenからCognito
tokenの取得
70

Federation/SSOを提供するパートナーソリューション
http://www.xceedium.com/xsuite/xsuite-for-amazon-web-services
http://www.okta.com/aws/
http://www.symplified.com/solutions/single-sign-on-sso
https://www.pingidentity.com/products/pingfederate/
http://www.cloudberrylab.com/ad-bridge.aspx
http://aws.amazon.com/jp/iam/partners/
71

アジェンダ
• IAMの概要
• IAMポリシー
• IAMロール
• まとめ
72

IAMのベストプラクティス
1. AWS アカウント（ルート）のアクセスキーをロックする
2. 個々の IAM ユーザーを作成する
3. IAM ユーザーへのアクセス権限を割り当てるためにグループを使う
4. 最小限の特権を認める
5. ユーザーのために強度の高いパスワードを設定する
6. 特権ユーザーに対して、MFA を有効化する
7. EC2で作動するアプリケーションに対し、ロールを使用する
8. 認証情報を共有するのではなく、ロールを使って委託する
9. 認証情報を定期的にローテーションする
10. 不要な認証情報の削除
11. 追加セキュリティに対するポリシー条件を使用する
12. AWSアカウントのアクティビティの履歴の保持
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/IAMBestPractices.html73

まとめ
• IAMを利用することで、よりセキュアにAWSサービスを利用できます
– 権限を適切に設定することで、セキュリティが向上し、オペレーションミスも低減で
きます
• STSをうまく利用すると、AWSサービスをアプリケーションやモバイル
から直接扱えます
– サーバコストの削減が可能
• IAM自体には利用料が必要ありません
– 積極的に活用を！
74

追加のリソース
• IAMドキュメント群
– http://aws.amazon.com/jp/documentation/iam/
• IAMベストプラクティス
– http://docs.aws.amazon.com/IAM/latest/UserGuide/IAMBestPractices.html
• AWS Security Blog
– http://blogs.aws.amazon.com/security/
75

Q&A
次回Webinarのお申し込み
http://aws.amazon.com/jp/event_schedule/
76

Webinar資料の配置場所
• AWS クラウドサービス活用資料集
– http://aws.amazon.com/jp/aws-jp-introduction/
77

公式Twitter/Facebook
AWSの最新情報をお届けします
@awscloud_jp
検索
最新技術情報、イベント情報、お役立ち情報、お得なキャンペーン情報などを
日々更新しています！
もしくは
http://on.fb.me/1vR8yWm
78

AWS初心者向けWebinar
• AWSをこれからご使用になる向けのソリュー
ションカットのオンラインセミナー
• 今後の配信予定
– 6/23(火) 18:00-19:15
AWS上にWebサーバーシステムを作ってみましょう
～まずは仮想サーバーから[演習つき]～
• 申し込みサイト
– http://aws.amazon.com/jp/about-aws/events/
79

次回のAWS Black Belt Tech Webinar は、
6月24日 18:00～
Amazon EC2 Container Service (ECS)
80

ご参加ありがとうございました。
81

AWS Black Belt Techシリーズ AWS IAM

More Related Content

AWS Black Belt Techシリーズ AWS IAM