Lock in $30 Savings on PRO—Offer Ends Soon! ⏳

IAM ロールはエクスカリバー~イメージでつかむ IAM ロールの世界~ #devio2023...

emi
July 27, 2023

IAM ロールはエクスカリバー~イメージでつかむ IAM ロールの世界~ #devio2023/IAM-Roles-are-Excalibur-Grasping-the-World-of-IAM-Roles-with-Images-devio2023

以下のイベント開催に伴い作成した動画の資料です。

■イベントページ
【2023年7月7日(金)8日(土)】DevelopersIO 2023 〜 GETだけじゃもったいない、POSTしてPUTする2日間 〜
https://event.classmethod.jp/developers-io/2023

■Youtube 動画
IAM ロールはエクスカリバー~イメージでつかむ IAM ロールの世界~ #devio2023
https://www.youtube.com/watch?v=FzPYXqYjjPA

emi

July 27, 2023
Tweet

More Decks by emi

Other Decks in Technology

Transcript

  1. 16 IAM ロールに IAM ポリシー(権限)を付与する IAM ロール概要 IAM ロール IAM

    ポリシー (権限) IAM ロール IAM ポリシー (権限)
  2. 17 principal は IAM ロールを 引き受ける(AssumeRole)ことができる IAM ロール概要 Amazon EC2

    (principal) Amazon EC2 (principal) IAM ロール IAM ポリシー(権限)
  3. 22 AWS STS(Security Token Service)は IAM ロールの一時的な認証情報(クレデンシャル)を 発行する IAM ロール概要

    IAM ロール 一時的な クレデンシャル IAM ユーザー 永続的な クレデンシャル
  4. 23 AWS STS(Security Token Service)は IAM ロールの一時的な認証情報(クレデンシャル)を 発行する IAM ロール概要

    IAM ロール IAM ユーザー 永続的な クレデンシャル 一時的な クレデンシャル
  5. 30 • IAM ロールは AWS リソースに何かしらの「役割」を 担わせる • IAM ロールには

    IAM ポリシー(権限)を付与する • principal(AWS リソース)は IAM ロールを 引き受ける(AssumeRole) • AWS STS は IAM ロールの 一時的な認証情報(クレデンシャル)を発行する IAM ロール概要
  6. 42 • 認証情報を AWS リソースやプログラムコードに 直接埋め込むことなく、IAM ロールが一時的な認証情報 を通じてアクセス可能にしてくれる • AWS

    STS が発行する一時的な認証情報 (クレデンシャル)は自動的にローテーションされるため、 漏洩しても攻撃者がそれを永続的に 使用することができない IAM ロールが安全と言われるわけ
  7. 50 • 一時的な認証情報が盗まれ続ける可能性がある • 特に EC2 インスタンスに IAM ロールを付与する場合は IMDS

    v2 を利用するなどの対策をする • そもそもシステム内部に侵入させないようアクセス元を 適切に制限し、ユーザー入力の検証とサニタイズを行い 入力の悪用を防止する • 不審な挙動を発見したら速やかに隔離し権限を はく奪する IAM ロールを使えば本当に安全なのか
  8. 参考 55 Weblio 英和辞典 和英辞典 より https://ejje.weblio.jp/content/role いらすとや https://www.irasutoya.com/ インスタンスメタデータとユーザーデータ

    https://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/ec2-instance-metadata.html [待望のアプデ]EC2インスタンスメタデータサービスv2がリリースされてSSRF脆弱性等への攻 撃に対するセキュリティが強化されました! https://dev.classmethod.jp/articles/ec2-imdsv2-release/ 選ばれし勇者の声 Amazon Polly – ニューラル 日本語 Takumi 敵の声 Amazon Polly – ニューラル 日本語 Tomoko 妖精、仲間の声 Amazon Polly – ニューラル 日本語 Kazuha https://aws.amazon.com/jp/polly/