Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！

Transcript

1. JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ Amazon Q Developer CLIと一緒に 最小権限の原則を守ったIAMポリシーを作ろう！ 2025.03.26（水） 池田 晃尚（@akikii__） 1
2. 自己紹介 アキキー（池田 晃尚） ALH株式会社（SES） AWSエンジニア 好きなサービス：CDK, Bedrock 出身：石川県 金沢市 趣味：コーヒー Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを 作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 2
3. Agenda Amazon Q Developer CLIとは？ IAMポリシーとは？ IAMポリシー：ホワイトリストパターンのつらみ IAMポリシーをQ CLIと一緒に作ってみよう！ まとめ Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 3
4. Amazon Q Developer CLIとは？ AWSが提供している生成AIを利用したAIエージェントが搭載されている AWSに強く、実際にAWS環境にアクセスしてくれる Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 4
5. Q CLIが利用できるツール ツール：AIエージェントが外部とやりとりでき るアプリ use_aws：AWS CLIコマンドの実行 execute_bash：Bashコマンドの実行 fs_read：ファイルの読み込み fs_write：ファイルの書き込み Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 5
6. IAMポリシーとは？ • AWSの各リソースに対しての操作権限を管理する仕組み • 「許可/拒否」 「どの操作を」 「どのリソースに対して」 「どのような条件で」を定義 { "Effect": "Allow", "Action": ["s3:GetObject"], "Resource": ["arn:aws:s3:::example-bucket/*"] } 「IAMユーザー」 「IAMグループ」 「IAMロール」に紐づけて使う Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 6
7. IAMポリシー：ホワイトリストパタ ーンのつらみ 明示的に許可されたアクションのみを実行可 明示的な許可: 特定のアクション、リソー ス、条件のみを明示的に許可 デフォルト拒否: 明示的に許可されていな いすべてのアクションはデフォルトで拒否 最小権限: 必要最低限の権限のみを付与 → 全てのAPIアクションを理解して作るにはか なり労力がかかる Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 7
8. IAMポリシーをQ CLIと一緒に作ってみよう！ Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 8
9. 設計するポリシーの要件 開発者が特定のLambda関数にたいし全ての権限をもちたい 関連するリソース（Logs, IAMロールなど）は見れるようにしたい Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 9
10. プロンプト IAMポリシーを作成・IAMユーザーに アタッチするプロンプトを作りまし た resources: 指定するリソース environment: AWS環境 operation: ポリシーの要件 Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを 作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 10
11. Q CLIにリクエストしてみる それっぽいIAMポリシーができた Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを 作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 11
12. よくみると... 大きい権限をもってしまっ ている Amazon Q Developer CLIと一緒に最小権限の原則を守った IAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 12
13. 最小権限の原則とは 必要な権限だけを与え、それ以上は与えな いという考え セキュリティリスクを最小限に抑え、意図 しないアクセスや誤操作によるリスクを軽 減することが目的 今回だとLambda関数: first-sample-functionに 関連しないリソースの操作を与えない Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 13
14. Q CLIにリクエスト Sid：AllowRelatedResourcesView 最小権限の原則を適用して 結果(Logsのみ抜粋): 対象関数のログのみ閲覧できるように絞れた！ Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 14
15. それではポリシーの作成＆アタッチをしてもらいます Q CLIにリクエスト IAMポリシーを作成して指定したIAMユーザーにアタッチして Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 15
16. IAMポリシーが作成された Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを 作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 16
17. IAMポリシーがIAMユーザーにアタッ チされた Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを 作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 17
18. IAMポリシーがアタッチできたのでLambda関数の画面を開いてみる Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 18
19. 開けてる〜〜 Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 19
20. ログも見れる〜〜〜 Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 20
21. アッ Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 21
22. でも大丈夫！！ Q CLIがいるから！！ Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 22
23. エラーメッセージを Q CLIにリクエストしてみる ユーザー: arn:aws:iam::xxx:user/q-cli-sample-user アクション: iam:GetPolicy リソース : arn:aws:iam::xxx:policy/service-role/AWSLambdaBasicExecutionRole-xxx コンテキスト: no identity-based policy allows the action Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 23
24. ステートメントを 追加してくれた Amazon Q Developer CLIと一緒に最小権限の原則を守った IAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 24
25. IAMポリシーを 更新してくれた Amazon Q Developer CLIと一緒に最小権限の原則を守った IAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 25
26. アクセスできるようになった！ Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 26
27. まとめ IAMポリシー作成の労力を大幅に削減できる 最小権限の原則を守りながら効率的にポリシーを作れる 足りない権限があればQ CLIに聞きながら追加できる Q CLIは面倒臭い作業における最強の味方！ Amazon Q Developer CLIと一緒に最小権限の原則を守ったIAMポリシーを作ろう！ JAWS-UG初心者支部#63 AWS Expert視聴後のLT会！ 27