Security-JAWS 大喜多 利哉 IAM 権限をこえて

自己紹介 • 大喜多 利哉(https://ookita.biz/) • 仕事：回線サービス・VPN・F/Wが専門の ネットワークエンジニア • 活動コミュニティ： • Security-JAWS 運営メンバー • JAWS-UG 横浜支部 運営メンバー • KUSANAGI-UG東京 代表

今回みなさんに おはなしすること • IAMとは何か • IAMの各要素とそれぞれのユースケース • IAMベストプラクティス

IAMとは • AWS Identity and Access Managementの略 • AWS利用者の認証とアクセスポリシーの管理 グループA(全操作可) グループB(S3全操作可) グループC(S3参照可) EC2 S3

IAMユーザー IAMグループ • IAMユーザー AWS操作用のユーザー 1ユーザー10グループまで所属可能 パーミッション(AWSサービスへのアクセス権限) • IAMグループ IAMユーザーをまとめるグループ パーミッション(AWSサービスへのアクセス権限) ※パーミッションはIAMユーザー／グループどちらにも設定できる

IAMポリシー • AWSに対する権限設定 JSON形式で記述 http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reference_policies.html • AWS管理ポリシー AWSが一般的なユースケースに基づいて作成したプリセットポリシー • カスタマー管理ポリシー AWS管理ポリシーで要件を満たせない場合に独自に作成するポリシー

アクセス可否の 決定ロジック • 先ほど ※パーミッションはIAMユーザー／グループどちらにも設定できる と書きました。 • どういう判定をするのか気になりますよね • すべてのアクセスはデフォルトで拒否(暗黙のDeny) その他に明示的なAllowと明示的なDenyがある • 明示的なDeny(最優先)＞明示的なAllow(優先)＞暗黙のDeny(最後) • IAMユーザー・IAMグループの設定を参照して、上記優先順位に従って決 定されます。なおIAMユーザーとIAMグループの間に優劣の関係はありま せん。

リソースベースポリシー • これまではIAMユーザー／IAMグループに対してポリシーを設定する 話をしてきました。 • リソースにポリシーを紐付けることも可能です。 • S3のバケットやSQSのキューなどに対してポリシーを紐付けること ができます。 例）特定のIPアドレスからしかアクセスできないバケットなどが作れ ます

IAMロール • AWSサービスやアプリケーション等にAWS操作権限を付与するため の仕組み • IAMユーザー／グループとは全く別のもの • 例えば、AWS SDKを利用する場合にアクセスキーとシークレット キーを明示的に記載する必要がありましたが、IAMロールを使用する と、IAMロールが適用されたインスタンス上では認証情報設定が不要 になります。

その他 • Identitiy Federation(ID連携) 企業・組織が持つ認証機能とAWSの認証を紐付ける機能 LDAP認証済みユーザーに対してS3へのアクセス権をつけるなどできる 認証したユーザーごとに一時的なアクセスキーを発行することで実現

IAM ベストプラクティス 1. AWS アカウント（ルート）のアクセスキーをロックする 2. 個々のIAM ユーザーを作成する 3. IAM ユーザーへのアクセス権限を割り当てるためにグループを使う 4. 最小限の特権を認める 5. ユーザーのために強度の高いパスワードを設定する 6. 特権ユーザーに対して、MFA を有効化する 7. EC2で作動するアプリケーションに対し、ロールを使用する 8. 認証情報を共有するのではなく、ロールを使って委託する 9. 認証情報を定期的にローテーションする 10. 不要な認証情報の削除 11. 追加セキュリティに対するポリシー条件を使用する 12. AWSアカウントのアクティビティの履歴の保持

参考  IAMドキュメント群 http://aws.amazon.com/jp/documentation/iam/  IAMベストプラクティス http://docs.aws.amazon.com/IAM/latest/UserGuide/IAMBestPracti ces.html

ご静聴ありがとうございました