Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
AWS IAM概要
Search
Kento Takano
March 02, 2019
Technology
0
280
AWS IAM概要
SAAのセキュリティに関する点数が非常に悪かったので、
自戒の念を込めて作成した資料
Kento Takano
March 02, 2019
Tweet
Share
More Decks by Kento Takano
See All by Kento Takano
Drone.ioでテスト自動化
kento75
0
380
Other Decks in Technology
See All in Technology
AWS re:Inventを徹底的に楽しむためのTips / Tips for thoroughly enjoying AWS re:Invent
yuj1osm
1
540
新卒1年目が挑む!生成AI × マルチエージェントで実現する次世代オンボーディング / operation-ai-onboarding
cyberagentdevelopers
PRO
1
160
2024-10-30-reInventStandby_StudyGroup_Intro
shinichirokawano
1
610
いまならこう作りたい AWSコンテナ[本格]入門ハンズオン 〜2024年版 ハンズオンの構想〜
horsewin
9
2k
Fargateを使った研修の話
takesection
0
110
とあるユーザー企業におけるリスクベースで考えるセキュリティ業務のお話し
4su_para
3
320
MAMを軸とした動画ハンドリングにおけるAI活用前提の整備と次世代ビジョン / abema-ai-mam
cyberagentdevelopers
PRO
1
110
omakaseしないための.rubocop.yml のつくりかた / How to Build Your .rubocop.yml to Avoid Omakase #kaigionrails
linkers_tech
3
710
Amazon_CloudWatch_ログ異常検出_導入ガイド
tsujiba
4
1.5k
Vueで Webコンポーネントを作って Reactで使う / 20241030-cloudsign-vuefes_after_night
bengo4com
4
2.5k
AIを駆使したゲーム開発戦略: 新設AI組織の取り組み / sge-ai-strategy
cyberagentdevelopers
PRO
1
130
【LT】ソフトウェア産業は進化しているのか? -Javaの想い出とともに- #jjug_ccc
takabow
0
170
Featured
See All Featured
JavaScript: Past, Present, and Future - NDC Porto 2020
reverentgeek
47
5k
Six Lessons from altMBA
skipperchong
26
3.5k
For a Future-Friendly Web
brad_frost
175
9.4k
Building a Modern Day E-commerce SEO Strategy
aleyda
38
6.9k
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
126
18k
We Have a Design System, Now What?
morganepeng
50
7.2k
Teambox: Starting and Learning
jrom
132
8.7k
The MySQL Ecosystem @ GitHub 2015
samlambert
250
12k
The Psychology of Web Performance [Beyond Tellerrand 2023]
tammyeverts
41
2.1k
Practical Tips for Bootstrapping Information Extraction Pipelines
honnibal
PRO
9
680
Faster Mobile Websites
deanohume
304
30k
Designing for Performance
lara
604
68k
Transcript
AWS IAM概要 2019.03.02 Kento Takano
自己紹介 Kento Takano(@Kento75) ・自称フロントエンドエンジニア ・好きな言語 → React.js ・好きなクラウド → GCP
・好きな女優 → 新垣結衣 Blog → https://overreact.tk Twitter → https://twitter.com/Kento751 Github → https://github.com/Kento75
IAMとは? AWS IAM とは、 AWSを安全に操作する為の認証・認可の仕組み ・AWS利用者の管理 ・アクセス許可の管理 ・ユーザー(個人) OR グループごとに管理
権限 ・EC2: OK ・S3 : NG たとえば、 ユーザーが、AWSのEC2の起動、停止に対して権限を持ち、 S3に対しては権限を持たない場合 ユーザー
IAM AWS EC2 S3
IAMの主要トピック ・ユーザー ・グループ ・ポリシー ・ロール
ユーザー概要 IAMユーザーは2種類ある ・ルートユーザー ・IAMユーザー
ルートユーザーとは? ・AWSアカウント作成時に作られるユーザー ・全てのAWSサービスとリソースに対する権限を持つ ・業務等(個人利用でも)ルートユーザーを使用しない。 流出した場合、やりたい放題される。
ルートユーザーにしかできない操作 (主要なものだけ) ・ルートアカウントのメールアドレス、パスワード変更 ・AWSアカウントの請求情報の参照 ・Route53で登録したドメインを別AWSアカウントに移管 ・CloudFrontのキーペア作成 ・AWSアカウントの停止 ・侵入テスト申請 ・逆引き設定の申請 etc...
IAMユーザーとは? ・IAMポリシー内でAWSサービスを利用できるユーザー ・基本の操作は、ルートユーザーを使わずにこちらを使う。 ※ IAMポリシーとは、アクセス権限のこと
権限 ・EC2: OK ・S3 : NG IAMユーザーとは? 先ほどのスライドのユーザーアクセスの例は、IAMユーザー IAMユーザー IAM
AWS EC2 S3
IAMユーザーの設定、設計 設定上限:アカウント毎に、5000ユーザーまで作成できる 設計内容:ユーザー名、パス、所属グループ、権限の4つ
IAMグループとは? ・IAMポリシー内でAWSサービスを利用できるグループ ・IAMユーザー複数に対して同じ権限を設定したい場合に 使用する。 身近な例では、同じサーバ運用業務を行うメンバー全員に 個 別に権限を付与するのは、あまり賢くない。 グループを1つ作成すれば、メンバ
権限 ・EC2: OK ・S3 : NG 身近な例では? 同じサーバ運用業務を行うメンバー全員に 個別に権限を付与するの は、あまり賢くない。必要な権限が変わった時に全員分変更は大変。
IAMユーザー IAM AWS EC2 S3 x2
権限 ・EC2: OK ・S3 : NG IAMグループで設定したら? IAMグループの設定1つあれば、権限を追加したい時や減らしたい時 にもIAMグループの変更だけで良い。運用が楽になる。 IAMグループ
IAM AWS EC2 S3
IAMグループの設定、設計 設定上限:アカウント毎に、100グループまで作成できる 設計内容:グループ名、パス、権限の3つ
IAMの認証方式 ・アクセスキーID/シークレットアクセスキー → 主に、API利用時に使用する ・X.509 Certificate → 公開鍵認証形式でのAPIリクエストに使用する ・AWSマネジメントコンソールへのログイン →
AWSアカウントごとにパスワードを設定する ・MFA(多要素認証) → スマートフォンなど、物理デバイスを利用した認証形式
IAMポリシーとは? ・IAMユーザーやIAMグループへAWSサービス、 リソースへのアクセス権限を付与する
権限 ・EC2: OK ・S3 : NG 先ほどの図では? IAMグループ IAM AWS
EC2 S3 IAMポリシー
IAMポリシーの種類 以下の2つの分かれている。 ・管理ポリシー → AWS管理ポリシー、カスタム管理ポリシー ・インラインポリシー → 自作の管理ポリシー
管理ポリシーとは? ・AWS管理ポリシー → AWSが作成、管理するポリシー ・カスタム管理ポリシー → AWSアカウントで作成、管理するポリシー 同じポリシーを複数のIAMエンティティにアタッチできる ※
IAMエンティティとは、IAMユーザー、IAMグループ、 IAMロール、キー、証明書、MFAデバイスetcのこと
インラインポリシーとは? ・自作の管理ポリシー → プリンシパルエンティティにアタッチできるポリシー ※ プリンシパルエンティティとは、IAMユーザー、IAMグループ、 IAMロールのこと
IAMポリシー 人 or サービスへの適用 IAMポリシーには、 ユーザーベースとリソースベースのポリシー適用がある。 ユーザーベースのポリシー適用 サービスベースのポリシー適用 IAMユーザー SNS
S3 SQS AWSアカウントを越したアクセス許可が 可能
ユーザーベース、サービスベースを 図にするとこんな感じ IAMグループ IAM AWS EC2 S3 IAMユーザー Aポリシー ・EC2:
OK ・S3 : OK Bポリシー ・EC2: OK ・S3 : NG etc... IAMロール Cポリシー ・EC2: NG ・S3 : OK
IAMで管理しているユーザー以外がアクセスする場 合は? ・アプリケーションによっては、30分間のアクセス許可とか、 LDAPでの外部でのアクセス許可を適用したい場合は? ・顧客に対してIAMを持ちたくない(持つべきではない) → AWS Security Token Service(STS)を使う
AWS STS とは? AWS Security Token Service(STS)とは、 動的にIAMユーザーを作り、認証用トークンを発行するサービス