AWS最小権限での運用に向けた技術調査

2022/09 の JAWS-UG 名古屋でLTした内容です。
調査内容は５月時点のモノなので少し古いです。
IAM Access Analyzerのポリシー生成機能及びCloudTrailLakeに関して
調べて言及しています。

Transcript

1. AWS最小権限での運用に向け た技術調査 2022/05/10 高木 建太朗
2. 背景 • AWSのプリンシパルを最小権限で運用したい。 • 設計時にポリシーを最適化することは困難。 • 特に開発者に割り当てるポリシーの最適化が困難。 • 試用期間として運用しながら、開発者のAPIコールをベースに権限を作成したい。 目的 • 試用期間を設けて開発者に割り当てるポリシーの原型を得る。
3. TRDL 方法は大きく分けて以下の２つが考えられる 1. IAM access Analyzerのポリシー生成 リソースに関しての条件を指定しなくていいのであればIAM access Analyzerの ポリシー生成を利用する 2. Cloud Trail Lake の利用 リソースに関しての条件指定をしたいのであれば Cloud Trail Lake のクエリを実行して開発者の行動履歴を抽出する
4. 方法１．IAM access Analyzerのポリシー生成 IAM が提供する機能でユーザの過去のＡＰＩコールからIAMポリシーを生成できる。 • 無料で利用可能 • 事前にCloudTrailの証跡を作成しておく必要がある。 ＃データイベント（S3のGETなど）は対象外！！ • 同時に実行可能な対象は１つまで • 最大過去９０日の履歴を対象とすることができる • 実行に最大６時間を要する • 生成したポリシーは７日間確認可能 Ref） https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/access-analyzer-policy-generation.html
5. 方法１．IAM access Analyzerのポリシー生成 IAMで所望のユーザやロールを選択し、ポリシーの作成を押す
6. 方法１．IAM access Analyzerのポリシー生成 必要項目を選択してポリシーを生成を押す
7. 方法１．IAM access Analyzerのポリシー生成 ポリシーの生成がスタートして進行中のステータスになる。この状態に できるのは同時に１つのプリンシパルやロールのみ。
8. 方法１．IAM access Analyzerのポリシー生成 完了すると生成されたポリシーを表示から確認可能になる。
9. 方法１．IAM access Analyzerのポリシー生成 左の様に使用されたアクションの 一覧が手に入り編集も可能となる。
10. 方法１．IAM access Analyzerのポリシー生成 次画面で詳細なポリシーの編集が可能。
11. 方法１．IAM access Analyzerのポリシー生成 名前を付けて保存すればユーザ管理ポリシーとして保存できる。 （ちなみに、同時にアタッチもされる）
12. 方法2． Cloud Trail Lake の利用 Cloud Trail Lake と呼ばれる機能がCloud Trail で提供されている。内部的にはAthena と連携しており Glue などを利用せずともCloud Trail の証跡に相当するものにクエリ がかけられる。 • 重量課金制（ログ取り込みに2.5$/5TB、スキャンに0.005USD/1GB） • クエリをうまく使えばS3のデータイベントなども扱える • 証跡とは別機能。イベントデータストアになりイベントはクエリできない。 • 最大過去７年間の履歴を対象とすることができる • 実行速度はAthenaの性能となる（たぶん） • クエリの結果は７日間確認可能
13. 方法2． Cloud Trail Lake の利用 Cloud Trailの左ペインからレイクを選択してイベントデータストアを選択し作成
14. 方法2． Cloud Trail Lake の利用 諸般入力して次へ
15. 方法2． Cloud Trail Lake の利用 詳細に解析したければデータイ ベントにチェックをいれて、 データイベントの詳細を設定す る。例はS3のデータイベント を対象としている。
16. 方法2． Cloud Trail Lake の利用 イベントデータストができる。
17. 方法2． Cloud Trail Lake の利用 イベントに対するクエリ実行の例。
18. 方法2． Cloud Trail Lake の利用 ・例えば監査用、ポリシー作成用に月初にユーザの直近1年APIコールを確認したい EventBridge → Lambda with StartQuery API + GetQueryResults API →メール転送など ＃Athena のAPI とは異なり直接S3に出力する機能をもったAPIはない ・クエリをうまく設定すれば、現在のCheckサーバをなくすことができる。具体的には既存スクリプトをク エリ化すればよい。
19. 今後 CloudTrailLake の定期実行と通知方法を調べる。 ユーザやロールの権限を作成するためにいい感じのクエリを作成する。