AWS IAM で MFA 有効でないユーザを awscli + Mackerel で監視する / Monitoring users who are not MFA enabled with AWS IAM with awscli + Mackerel

#kosen10s LT#14 で発表したネタです。AWS IAM に登録されたユーザで、多要素認証が有効でないユーザを調べて Mackerel で監視するまでです。

Transcript

1. AWS IAM Ͱ MFA ༗ޮͰͳ͍ϢʔβΛ
 awscli + Mackerel Ͱ؂ࢹ͢Δ Kosen10s LT#14 do_su_0805
2. ΞδΣϯμ w 5-%3
   w ߏ੒ਤ
   w ֤छઃఆ
3. 5-%3 • awscli ͷ `aws iam` Λ࢖͏ͱɺMFA ͕༗ޮͰͳ͍Ϣʔβ͕ൈ͖ग़ͤΔ
 ◦ ҰൃͰ͸ൈ͖ग़ͤͳ͍ͷͰɺ૊Έ߹Θ͍ͤͯ͘
 ◦ ϋʔυ΢ΣΞΩʔͳϢʔβ͚ͩൈ͖ग़͢ͷ͕ͪΐͬͱେม
 • ͦͷ਺Λ Mackerel ͷϝτϦοΫͱͯ͠౤ߘ͠ɺ؂ࢹ͢Δ
 ◦ ϝτϦοΫͱͯ͠ඞཁͳ͍ͳΒɺνΣοΫ؂ࢹͰ΋ಉ͜͡ͱ͕Ͱ͖Δ
4. ߏ੒ਤ ਤ
   
   ߏ੒ਤ
5. BXTDMJ
   ʹ͍ͭͯ l"84
   ίϚϯυϥΠϯΠϯλʔϑΣΠε
   $-*
   ͸ɺ"84
   αʔϏεΛ؅ཧ͢ ΔͨΊͷ౷߹πʔϧͰ͢ɻμ΢ϯϩʔυ͓Αͼઃఆ༻ͷ୯ҰͷπʔϧͷΈΛ ࢖༻ͯ͠ɺίϚϯυϥΠϯ͔Βෳ਺ͷ
   "84
   αʔϏεΛ੍ޚ͠ɺεΫϦϓτ Λ࢖༻ͯ͜͠ΕΒΛࣗಈԽ͢Δ͜ͱ͕Ͱ͖·͢ɻz
   
 "84
   ίϚϯυϥΠϯΠϯλʔϑΣΠε
   IUUQTBXTBNB[PODPNKQDMJ
 !5
6. .BDLFSFM
   ʹ͍ͭͯ l.BDLFSFMʢϚΧϨϧʣ͸ɺӡ༻தͷΫϥ΢υ΋͘͠͸ΦϯϓϨϛεͷαʔ όʹΤʔδΣϯτΛͭೖΕΔ͚ͩͰɺ؆୯ʹαʔό؅ཧΛ࢝ΊΒΕ·͢ɻ ؂ࢹαʔόࣗ਎ͷߏஙɾӡ༻͸ෆཁͰ͢ɻ͞ΒʹෛՙͷϦιʔεঢ়گͳͲͷ ਺஋ΛάϥϑʹՄࢹԽ͠·͢ɻো֐ൃੜ࣌ʹ͸Ξϥʔτ͕ه࿥͞Εɺ༷ʑͳ πʔϧʹ௨஌Ͱ͖·͢ɻγεςϜӡ༻อकʹ࠷దͳ؂ࢹαʔϏεͰ͢ɻz
   
 ಛ௕ͱػೳ
   
   ಛ௕z
   l.BDLFSFMʢϚΧϨϧʣ
   ৽ੈ୅ͷαʔό؅ཧɾ؂ࢹαʔϏε
   
 IUUQTNBDLFSFMJPKBGFBUVSFT
 !6
7. ਤ
   
   .BDLFSFM
 IUUQTNBDLFSFMJPKB
8. BXTDMJ
   Λ࢖ͬͯ৘ใΛऔಘ͢Δ w ొ৔͢ΔίϚϯυ͸
   
   ͭ
   w 
   BXT
   JBN
   MJTUVTFST
   w "84
   *".
   ϢʔβͷҰཡΛऔಘ
   w 
   BXT
   JBN
   MJTUWJSUVBMNGBEFWJDFT
   w "84
   *".
   ʹొ࿥͞Ε͍ͯΔ
   Ծ૝
   .'"
   σόΠεҰཡΛऔಘ
   w 
   BXT
   JBN
   MJTUNGBEFWJDFT
   VTFSOBNF
   \VTFS^
   w "84
   *".
   ʹొ࿥͞Ε͍ͯΔɺಛఆϢʔβͷ
   .'"
   σόΠεҰཡΛऔಘ
9. BXTDMJ
   Λ࢖ͬͯ৘ใΛऔಘ͢Δ  MJTUVTFST
   ͰϢʔβҰཡΛग़͢
   w 
   BXT
   JBN
   MJTUVTFST
   c
   KR
   6TFST<>
   
   c
   TFMFDU 1BTTXPSE-BTU6TFE
   
   OVMM
   c
   6TFS/BNF
   S
   c
   TPSU
   w JBN
   MJTUVTFST
   ͷ݁Ռ͔ΒɺʮύεϫʔυϩάΠϯͨ͠ϢʔβʯͷҰཡ Λऔಘ
10. BXTDMJ
    Λ࢖ͬͯ৘ใΛऔಘ͢Δ  MJTUWJSUVBMNGBEFWJDFT
    Ͱ༗ޮͳԾ૝
    .'"
    σόΠεͷॴ༗ऀΛग़͢
    w 
    BXT
    JBN
    MJTUWJSUVBMNGBEFWJDFT
    c
    KR
    7JSUVBM.'"%FWJDFT<>
    c
    TFMFDU &OBCMF%BUF
    
    OVMM
    a
 c
    6TFS6TFS/BNF
    S
    c
    TPSU
    w JBN
    MJTUWJSUVBMNGBEFWJDFT
    ͷ݁Ռ͔ΒɺԼهͷΑ͏ʹߜΓࠐΉ
    w ʮԾ૝
    .'"
    σόΠεҰཡ͔Βʯ
    w ʮ༗ޮͳσόΠεͷҰཡΛग़͠ʯ
    w ʮͦͷॴ༗ऀΛऔಘ͢Δʯ
11. BXTDMJ
    Λ࢖ͬͯ৘ใΛऔಘ͢Δ  MJTUNGBEFWJDFT
    ͰಛఆϢʔβʹ༗ޮͳ
    .'"
    σόΠε͕͋Δ͔Λௐ΂Δ
    w 
    GPS
    VTFS
    JO
     ʮʯͷ݁Ռͱ
    ʮʯͷ݁Ռͷࠩ෼Ϣʔβ 
    EP
 BXT
    JBN
    MJTUNGBEFWJDFT
    VTFSOBNF
    \VTFS^
    c
    KR
    .'"%FWJDFT<>
    a
    
 c
    TFMFDU &OBCMF%BUFOVMM
    c
    6TFS/BNF
    S
 EPOF
    w ʮʯͱʮʯͷ݁Ռͷࠩ෼ͱͯ͠දࣔ͞ΕͨϢʔβ͕ɺଞʹσόΠε͕ͳ͍͔Λௐ΂Δ
    w ʮʯͷ݁Ռ͸ʰԾ૝
    .'"
    σόΠεʱͳͷͰϋʔυ΢ΣΞΩʔ͸ೖΒͳ͍
    w ͔ͱ͍ͬͯɺʮʯͰऔಘͨ͠શϢʔβΛ্هͰݕࡧ͢Δͷ΋ͳ͊ɾɾɾ
    w ௐ΂ͯɺݟ͔ͭͬͨΒʮʯಉ༷ʹϢʔβ໊Λऔಘ͢Δ
12. BXTDMJ
    Λ࢖ͬͯ৘ใΛऔಘ͢Δ  औಘ݁ՌΛ΋ͱʹ·ͱΊΔ
    w ʮʯͷ݁Ռ
    
    શϢʔβ
    ʜ
    "
    w ʮʯͷ݁Ռ
    
    Ծ૝
    .'"
    σόΠεͰ
    .'"
    ͍ͯ͠ΔϢʔβ
    ʜ
    #
    w ʮʯͷ݁Ռ
    
    ϋʔυ΢ΣΞσόΠεͰ
    .'"
    ͍ͯ͠ΔϢʔβ
    ʜ
    $
    
    w #
    ͱ
    $
    ͷ
    VOJR
    ߹ܭ
    
    .'"
    ༗ޮͳϢʔβ
    ʜ
    %
    w "
    ͱ
    %
    ͷࠩ෼
    
    .'"
    ͕༗ޮͰͳ͍Ϣʔβ
13. .BDLFSFM
    Ͱ؂ࢹ͢Δ w ࢼ͠ʹ
    ϗετϝτϦοΫͱͯ͠
    .BDLFSFM
    ʹ౤ߘ͢Δ
    w NBDLFSFMBHFOUDPOG
    ʹ͜Μͳײ͡ʹॻ͍ͯ
    w <QMVHJONFUSJDTBXTJBNNGB>
 DPNNBOE
    
    l Χ΢ϯτεΫϦϓτ l
    w ͜Μͳײ͡ʹεΫϦϓτ͕ग़ྗ͢Δͱ ۭന͸
    UBC
    
    w "84@*".BMMVTFST
    
    
    
    
    
    
    
    
    
    
    
    
    
 "84@*".WJSUVBMNGBVTFST
    
    
    
    
    
    
    
    
    
    
    
    
    
 "84@*".IBSEXBSFNGBVTFST
    
    
    
    
    
    
    
    
    
    
    
    
    
 "84@*".XSPOH@VTFS
    
    
    
    
    
    
    
    
    
    
    
    
    
14. .BDLFSFM
    Ͱ؂ࢹ͢Δ w ࢼ͠ʹ
    ϗετϝτϦοΫͱͯ͠
    .BDLFSFM
    ʹ౤ߘ͢Δ
    w ͜͏ͳΔ
 ਤ
    
    ౤ߘྫ
15. .BDLFSFM
    Ͱ؂ࢹ͢Δ w αʔϏεϝτϦοΫͱͯ͠
    .BDLFSFM
    ʹ౤ߘ͢Δͱ͖͸
    w ͖ͬ͞ͷܭࢉ݁ՌΛ
    "1*
    ܦ༝Ͱ౤ߘͨ͠Γ
    w BQJWTFSWJDFTTFSWJDF/BNFUTEC
    ʹ
    1045
    ͢Δ
    w ͖ͬ͞ͷܭࢉ݁ՌΛ
    NLS
    UISPX
    Ͱ౤ߘͨ͠Γ
    w ্ه
    "1*
    ͷ
    XSBQQFS
16. .BDLFSFM
    Ͱ؂ࢹ͢Δ w νΣοΫ؂ࢹͰ؂ࢹ͢Δ৔߹ʢϢʔβ਺͸͍Βͳ͍ਓ޲͚ʣ
    w NBDLFSFMBHFOUDPOG
    ʹ͜Μͳײ͡ʹॻ͍ͯ
    w <QMVHJODIFDLTBXTJBNNGB>
 DPNNBOE
    
    l Χ΢ϯτεΫϦϓτ l
    w εςʔλε ͱҰॹʹϝοηʔδ Λฦ͢εΫϦϓτΛஔ͘
    w ʮ.'"
    ༗ޮ͡Όͳ͍Ϣʔβ͕
    ʯ
    ͳΒ
    0,
    
    FYJU
    
    
    w ʮ.'"
    ༗ޮ͡Όͳ͍Ϣʔβ͕
    
    ͡Όͳ͍ʯ
    ͳΒͩΊ

    
    FYJU
    
    
17. .BDLFSFM
    Ͱ؂ࢹ͢Δ w ؂ࢹϧʔϧͰ͢Δ৔߹
    Ϣʔβ਺ͷਪҠͳͲ΋ཉ͍͠ਓ޲͚ʣ
    w ϗετ
    PS
    αʔϏεϝτϦοΫͱͯ͠౤ߘ͢Δ
    w ؂ࢹϧʔϧΛӈͷΑ͏ʹ࡞੒͢Δ ਤ
    
    ؂ࢹϧʔϧͷઃఆྫ