AWS IAM入門

クラウドで、世界を、もっと、はたらきやすく Copyright © Serverworks Co.,Ltd. All Rights Reserved. http://www.serverworks.co.jp
AWS IAM⼊⾨
いまさらですが
株式会社サーバーワークス
髙⽥知典

Page: 2Copyright © Serverworks Co.,Ltd. All Rights Reserved.
「 AWSにおけるセキュリティとコンプライアンス」P11より
https://d0.awsstatic.com/webinars/jp/pdf/services/20160315_securitycompliance-160322014616.pdf

IAMとは
AWS Identity and Access Management (IAM) は、ユー
ザーに対して AWS へのアクセスを安全に制御するための
仕組み(略)。IAM により、どのユーザーがお客様の AWS
リソースを使⽤できるか（認証）、それらのユーザーがど
のリソースをどのような⽅法で使⽤できるか（承認）を制
御できます。
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserG
uide/introduction.html より

想像図
Management
Console
API
各種
リソース
(EC2/S3/
etc)
IAMユーザ名/
パスワード
認証
と
認可
AWS
アクセスキー/
シークレット
アクセスキー
AWS IAM
操作
ヒト
プログラム/
AWS CLI
だれが
なにをできるか
IAMユーザ

認証
AWSアカウント(root)ユーザ
• AWSアカウント(root)ユーザ
• AWSアカウント作成時のユーザ
• メールアドレス
• 超強⼒な権限=>なんでもできる
• 通常しないようにする
• 後述するIAMポリシーによる認可制御ができない
• アクセスキーID/シークレットアクセスキーも削除しておく
• できればMFA（多要素認証）で保護

認証
IAMユーザとIAMグループ
• IAMユーザ
• ユーザ名
• 認可情報（IAMポリシー)を付与することが可能
• IAMグループに所属させることが可能
• IAMグループ
• グループ名
• 認可情報（IAMポリシー)を付与することが可能
• グループに付与した認可情報は、IAMユーザへ付与したも
のと同時に評価される

認証
IAMユーザの認証情報
• パスワード
• ユーザ名と組み合わせManagement Consoleへロ
グイン
• アクセスキーID/シークレットアクセスキー
• APIを使⽤するときのクレデンシャル情報
• 1つのIAMユーザに対して2つまで設定可能
• ローテーションすることが可能
• 漏洩しないように注意が必要
• AMIの共有、コード埋め込み（GitHub）
• X.509証明書
• SOAP API認証⽤

認証
IAMユーザの認証情報
• MFA
• パスワード、アクセスキーID/シークレットアクセ
スキーと組み合わせて使⽤する
• ハードウェアMFA
• 仮想MFA
• Google Authenticator
• Authy

認可
IAMポリシー
• AWSのリソースに対する権限設定を⾏う
• JSONで記載する
http://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/iam-policies-ec2-console.html
全てのリソースに
対して
許可する
EC2の情報を
閲覧することを

認可
IAMポリシーの付け⽅（インラインポリシー）
IAMユーザ
たかだ
IAMグループ
Kixs
IAMポリシー
EC2読み取り専⽤
IAMユーザ
にしだ
IAMポリシー
IAMポリシー
S3アップロード

認可
IAMポリシーの付け⽅（カスタマー管理ポリ
シー）
IAMユーザ
たかだ
IAMグループ
Kixs
IAMユーザ
にしだ
IAMポリシー
ec2_readonly
IAMポリシー
s3_upload
IAMグループ
UWFVer.1 Ver.5
…
Ver.1 Ver.5
…

認可
IAMポリシーの付け⽅（AWS管理ポリシー）
IAMユーザ
たかだ
IAMグループ
Kixs
IAMユーザ
にしだ
IAMポリシー
AdministratorAccess
IAMポリシー
PowerUserAccess
IAMグループ
UWF

認可
IAMポリシーの作成ツールなど
• AWS Policy Generator
• https://awspolicygen.s3.amazonaws.com/policygen.html
• 必要なパラメータを入れることでJSONを自動生成
• IAM Policy Simulator
• https://policysim.aws.amazon.com/home/index.jsp
• 適応前にテストを行うことが可能

IAMロール
IAMロール
• AWSサービス⾃体や、個別のアプリケーションなどに対し
て、AWSリソースへの操作権限を付与する仕組み
• IAMユーザやグループには付与されない
• IAMロールにIAMポリシーを紐付ける
• EC2で利⽤されることが多い
IAMロール
Webサーバ
IAMポリシー

IAMロール
EC2からS3へのアクセス
（IAMユーザを使う場合）
EC2
instance
Amazon S3
bucket
AWS CLI
認証
と
認可
AWS IAM
アクセスキー
シークレットアクセスキー
S3へのファイルアップロード
認証情報をOS内に持つ
必要がある
=漏洩リスク

IAMロール
EC2からS3へのアクセス
（IAMロールを使う場合）
EC2
instance
Amazon S3
bucket
AWS CLI
認証
と
認可
AWS IAM
認証情報を
OS内に埋め込む必要
がない

IAMロール
EC2からS3へのアクセスの詳細
（IAMロールを使う場合）
EC2
instance
Amazon S3
bucket
AWS CLI
AWS STS
temporary
security
credential
temporary
security
credential
アクセスキーID
シークレットアクセスキー
セッショントークン
有効期限
認証
と
認可
AWS IAM

IAMロール
EC2ではIAMロールを使ったほうがよい
• IAMロールに対応したアプリケーションが必要
• AWS CLIは対応
• AWS SDKも対応しているが、実装するアプリケーション側で
IAMロールを使⽤するような記述を⾏う必要がある。
• EC2はローンチ（⽣成）時にしか、IAMロールを付与で
きない
• 当初、利⽤する予定がなくても、IAMポリシーを付与していな
い空のIAMロールを付けておいたほうがよい

その他にも
• IAMロールとSTS
• クロスアカウントアクセス/Switch Role
• IAMによるFederation

まとめ
• AWSを利⽤する際、各種リソースへのアクセスコント
ロールには、IAMを利⽤します
• AWSを学ぶ上で、特徴的な仕組みであるが故に、（私
は）理解しにくい部分と思いましたが、⼀度理解ができ
ると、活⽤範囲が広いです
• IAMの利⽤料は無料です

参考資料
• AWS Identity and Access Management ドキュメント
https://aws.amazon.com/jp/documentation/iam/
AWS クラウドサービス活⽤資料集
• [Identity and Access Management (IAM)]
https://d0.awsstatic.com/webinars/jp/pdf/services/20160921_
AWS-BlackBelt-IAM.pdf
• AWSにおけるセキュリティとコンプライアンス
https://d0.awsstatic.com/webinars/jp/pdf/services/20160
315_securitycompliance-160322014616.pdf

AWS IAM入門

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Andere mochten auch

Andere mochten auch (20)

Ähnlich wie AWS IAM入門

Ähnlich wie AWS IAM入門 (20)

Mehr von Tomonori Takada

Mehr von Tomonori Takada (7)

AWS IAM入門