Upgrade to Pro — share decks privately, control downloads, hide ads and more …

AWSアカウントの認証管理

kawaji
July 18, 2018
41

 AWSアカウントの認証管理

kawaji

July 18, 2018
Tweet

Transcript

  1. ࣗݾ঺հ w ઒࿏ོٛ̐ࡀ̏ࣇͷ෕ w ॴଐ w ༗ݶձࣾεΫϥονιϑτ w +"846(໊ݹ԰ w

    +14USJQFT໊ݹ԰ w ܦྺ w ήʔϜϓϩάϥϚʔʹಌΕɺϫϯμʔεϫϯɾϓϨΠεςʔγϣϯʢॳ୅ʣͷ ։ൃΛόΠτΛܦͯɺύνϯίձࣾʹब৬ɻ w ̎̍ࡀͷࠒɺੈͷதͷ্࢘ͱ͍͏ਓؒΛ͢΂ͯ൱ఆ͠΍Ήͳ͘ಠཱͯ͠ࠓʹࢸ Δɻ w ࠓ͸"84Λར༻ͨ͠डୗ։ൃɾӡ༻ͳͲΛߦ͍ͬͯ·͢ɻ ໊ࢗ๨Εͯདྷͯ͠·ͬͨͷͰ 'BDFCPPLͳͲͰ͓༑ୡʹ ͳ͍ͬͯͩ͘͞ɻ
  2. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. ID: AWS ID AWS Organizations ID AWS [email protected] 1
  3. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. AWS AWS IAM ID: IAM 2 IAM AWS
  4. : AWS マネージメント コンソール API AWS ユーザ名・ パスワード 1 SDK

    CLI > アクセスキー ID・ シークレットアクセスキー
  5. : AWS マネージメント コンソール API AWS ユーザ名・ パスワード 1 SDK

    CLI > IAM 2 アクセスキー ID・ シークレットアクセスキー アカウント・ ユーザ名・ パスワード
  6. : AWS マネージメント コンソール API IAM 3 アクセスキー ID・ シークレットアクセスキー・

    セッショントークン AWS ユーザ名・ パスワード 1 SDK CLI > IAM 2 アクセスキー ID・ シークレットアクセスキー アカウント・ ユーザ名・ パスワード
  7. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. : AWS API ID AKIAIOSFODNN7EXAMPLE wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY IAM AWS
  8. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. : AWS API ID AKIAIOSFODNN7EXAMPLE wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY IAM AWS STS API FQoDYXdzEJv//////////wEaDMtRHEaQvoG3OONy8yKsAe3Mu8RFO+Co7haOiO/NggdPx0HDGsT5GYJZxns4e4IRsq+RbweXOit5mR KGO9tPDYlR8P1/5czaCaC2Krv2YdrslGRxV8v0XkFMx3qIGIhRrxh7F+7JZUXBXchOI6DwcQcKePOT0E2HM1t7vPeI+Xb1sZidw5m2UX47 OJhIjrjdUuu0gGXoJcZI1JEp197lCpDsv/7Ytb9DCL1xe+Pn83tELdEUuCxiI/9Yhe0oq8rz1wU=
  9. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. : SDK CLI AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY ~/.aws/credentials (aws configure ) EC2 ECS Lambda IAM
  10. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. : MFA • • IAM MFA CLI MFA IP CLI > コンソール コンソール CLI > コンソール SDK
  11. : IAM IAM IAM taro.yamada hanako.yamada ImageMagnifierLambda S3Admin BucketAAA_ReadWrite ProjectBBB-EC2_StartStop

    ProjectCCC-EC2_StartStop AWS AdministratorAccess AmazonS3FullAccess AmazonS3ReadOnlyAccess
  12. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. : IAM API EC2 "Action": "ec2:*", "Resource": "*" JSON 抜粋 VPC DirectConnect "Action": [ "ec2:CreateVpc*", "ec2:AttachInternetGateway", "ec2:AssociateRouteTable", ...... ], "Resource": "*"
  13. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. : IAM "Action": [ "ec2:StartInstance", "ec2:StopInstance" ], "Resource": "arn:aws:ec2:ap-northeast- 1:123456789012:instance/i-AAAAAAAA" JSON 抜粋 EC2 i-AAAAAAAA AAA
  14. AWS AWS A AAA AWS B BBB AWS A i-11111111

    i-22222222 AAA AWS B i-33333333 i-44444444 BBB
  15. AWS AWS A AAA AWS B BBB AWS A i-11111111

    i-22222222 AAA AWS B i-33333333 i-44444444 BBB IAM
  16. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. AWS AWS AWS Organizations
  17. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. AWS Organizations 複数の AWS アカウントを 管理するための組織を構成 組織内の全アカウントの 料金を一括で請求 新規の AWS アカウントを コンソールからもCLIからも 簡単に作成できる サービスの利用可否を ポリシーで制御可能 無料で利用可
  18. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. AWS AWS AWS AWS VPC Direct Connect Interface VPN AWS Organizations
  19. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. AWS IAM ADFS + SAML AWS SSO 1 2 3
  20. IAM AWS IAM IAM AWS AssumeRole API アクセスキーで AssumeRole で呼び出し

    S3Admin ロールを指定 S3 Admin の一時的な アクセスキーを取得 一時的なアクセスキーで S3 の API の呼び出す IAM S3Admin 1
  21. ADFS + SAML ADFS (Microsoft Active Directory Federation Service) AWS

    SAML AWS Active Directory AWS ADFS SAML AWS IAM IAM ADFS Active Directory 2
  22. AWS SSO AWS SSO Active Directory (AD) AWS Directory Service

    Activce Directory AWS Organizations AWS Organizations AWS Active Directory AWS SSO SAML AWS IAM IAM Active Directory 3
  23. © 2018, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. AWS Single Sign-On (SSO) SSO AWS Organizations CLI SAML SaaS AWS Directory Service AWS Directory Service Active Directory AWS Organizations ユーザポータル 外部SaaS設定
  24. 1W E 1W F A G 1 12 8 U

    / 11 - 2 @ : TRNSPJ O I ! ! ! 1 3 /0 1 -21 ©GAMBA OSAKA