IAMロール再作成時の罠とインスタンスプロファイルの仕組み

Transcript

1. © JSOL CORPORATION 0 プレゼンテーションタイトル © JSOL CORPORATION IAMロール再作成時の罠とインスタンスプロファイルの 仕組み 河本 瞬 豊洲会 ＃LT大会
2. © JSOL CORPORATION 1 © JSOL CORPORATION 1 自己紹介
3. © JSOL CORPORATION 2 自己紹介 河本 瞬（かわもと しゅん） データ&テクノロジー事業本部 プラットフォームコンサルティング第一部 第一課 SAP basis・インフラ領域を担当 社会人歴：2年目 好きなAWSのサービス：Amazon Route 53 趣味：筋トレ、カメラ
4. © JSOL CORPORATION 3
5. © JSOL CORPORATION 4
6. © JSOL CORPORATION 5 EC2にIAMロールがアタッチされてい るのになぜか権限が効かなかった。。。
7. © JSOL CORPORATION 6 © JSOL CORPORATION 6 発生した問題
8. © JSOL CORPORATION 7 発生した問題 AWS Cloud test-role-ec2 IAMロール ① EC2インスタンスにIAMロールをアタッチ ポリシー AmazonSSMManag edInstancecore AWS Systems Manager 接続OK！ SSM利用のための基本権限 my-test-server
9. © JSOL CORPORATION 8 発生した問題 AWS Cloud test-role-ec2 IAMロール ②EC2にロールが付いた状態でIAMロールを削除 ポリシー AmazonSSMManag edInstancecore AWS Systems Manager 接続OK！ SSM利用のための基本権限 my-test-server
10. © JSOL CORPORATION 9 発生した問題 AWS Cloud test-role-ec2 IAMロール ②EC2にロールが付いた状態でIAMロールを削除 ポリシー AmazonSSMManag edInstancecore AWS Systems Manager 接続NG！ SSM利用のための基本権限 my-test-server
11. © JSOL CORPORATION 10 発生した問題 AWS Cloud test-role-ec2 IAMロール ③同じ名前でIAMロールを再作成 ポリシー AmazonSSMManag edInstancecore AWS Systems Manager SSM利用のための基本権限 接続NG！ my-test-server
12. © JSOL CORPORATION 11 発生した問題 AWS Cloud test-role-ec2 IAMロール ④再作成したIAMロールが自動的にEC2にアタッチされる ポリシー AmazonSSMManag edInstancecore AWS Systems Manager SSM利用のための基本権限 接続 ? my-test-server
13. © JSOL CORPORATION 12 発生した問題 AWS Cloud test-role-ec2 IAMロール ④再作成したIAMロールが自動的にEC2にアタッチされる ポリシー AmazonSSMManag edInstancecore AWS Systems Manager SSM利用のための基本権限 接続 ? my-test-server
14. © JSOL CORPORATION 13 発生した問題 AWS Cloud my-test-server test-role-ec2 IAMロール SSMと接続できなくなってしまった...orz ポリシー AmazonSSMManag edInstancecore AWS Systems Manager SSM利用のための基本権限 接続NG！
15. © JSOL CORPORATION 14 © JSOL CORPORATION 14 インスタンスプロファイル
16. © JSOL CORPORATION 15 インスタンスプロファイルとは EC2インスタンスとIAMロールを結び付けるための”入れ物” EC2にロールを設定するとき、実際には「インスタンスプロファイル」を介している EC2 instance インスタンスプロファイル IAMロール IAMポリシー
17. © JSOL CORPORATION 16 インスタンスプロファイルとは EC2インスタンスとIAMロールを結び付けるための”入れ物” EC2にロールを設定するとき、実際には「インスタンスプロファイル」を介している EC2 instance インスタンスプロファイル IAMロール IAMポリシー
18. © JSOL CORPORATION 17 インスタンスプロファイルとは EC2インスタンスとIAMロールを結び付けるための”入れ物” EC2にロールを設定するとき、実際には「インスタンスプロファイル」を介している インスタンス プロファイル EC2 instance インスタンスプロファイル IAMロール IAMポリシー
19. © JSOL CORPORATION 18 インスタンスプロファイルとは マネジメントコンソール上でIAMロールを作成した際は、同じ名前のインスタンスプロファイルが自動で作成 される ※CLIで作成する際は、インスタンスプロファイルを明示的に作成する。その際インスタンスプロファイル名 はIAMロール名と異なっていてもよい。 インスタンスプロファイル （ test-role-ec2 ） IAMロール（ test-role-ec2 ） IAMポリシー ①IAMロール作成 ②内部で自動で作成される
20. © JSOL CORPORATION 19 インスタンスプロファイルとは インスタンスプロファイル （ test-role-ec2 ） IAMロール（ test-role-ec2 ） IAMポリシー ①IAMロール作成 紐づけ：IAMロール名 AWS内部での実態識別：一意の識別ID 参考：aws公式 「IAM ID」 https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reference_identifiers.html 例:AIDAJQABLZS4A3QDU576Q マネジメントコンソール上でIAMロールを作成した際は、同じ名前のインスタンスプロファイルが自動で作成 される ※CLIで作成する際は、インスタンスプロファイルを明示的に作成する。その際インスタンスプロファイル名 はIAMロール名と異なっていてもよい。 ②内部で自動で作成される
21. © JSOL CORPORATION 20 © JSOL CORPORATION 20 事象の整理
22. © JSOL CORPORATION 21 内部で何が起きていたのか？（仮説） EC2 instance：my-test-server インスタンスプロファイル: Test-role-ec2 IAMロール：test-role-ec2 一意の識別ID:AAABBBCCC... IAMポリシー ロールを削除してもインタンスプロファイルは削除されず、EC2にアタッチされたままになる EC2 instance：my-test-server インスタンスプロファイル: Test-role-ec2 インスタンスプロ ファイルは残る！！ IAMロール削除
23. © JSOL CORPORATION 22 EC2 instance：my-test-server インスタンスプロファイル: Test-role-ec2 IAMロール：test-role-ec2 一意の識別ID:AAABBBCCC... IAMポリシー 削除済み 内部で何が起きていたのか？（仮説）
24. © JSOL CORPORATION 23 EC2 instance：my-test-server インスタンスプロファイル: Test-role-ec2 IAMロール：test-role-ec2 一意の識別ID:XXXYYYZZZ... IAMポリシー IAMロール：test-role-ec2 一意の識別ID:AAABBBCCC... IAMポリシー ①同名のIAMロールを作成 削除済み 内部で何が起きていたのか？（仮説）
25. © JSOL CORPORATION 24 EC2 instance：my-test-server インスタンスプロファイル: Test-role-ec2 IAMロール：test-role-ec2 一意の識別ID:XXXYYYZZZ... IAMポリシー IAMロール：test-role-ec2 一意の識別ID:AAABBBCCC... IAMポリシー ①同名のIAMロールを作成 削除済み 内部で何が起きていたのか？（仮説） ②誤認識により、IAMロールがコンソー ル上では古いインスタンスプロファイル に紐づいているように表示される。
26. © JSOL CORPORATION 25 しかし、内部IDが異なるため実態として再リンクされるわけではない。 EC2 instance：my-test-server インスタンスプロファイル: Test-role-ec2 IAMロール：test-role-ec2 一意の識別ID:XXXYYYZZZ... IAMポリシー IAMロール：test-role-ec2 一意の識別ID:AAABBBCCC... IAMポリシー ①同名のIAMロールを作成 削除済み 内部で何が起きていたのか？（仮説） ②誤認識により、IAMロールがコンソー ル上では古いインスタンスプロファイル に紐づいているように表示される。
27. © JSOL CORPORATION 26 © JSOL CORPORATION 26 まとめ
28. © JSOL CORPORATION 27 ✓EC2にロールをアタッチする際はインスタンスプロファイルを介することを意 識する ✓ロール削除時は、事前にEC2からインスタンスプロファイルをデタッチする ことで余計なトラブルを防止できる ✓トラブル調査では「見た目」ではなく、「実体」をチェックする習慣をつける まとめ