Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Speaker Deck
PRO
Sign in
Sign up for free
jaws-days 2013 yokohama IAM
maroon1st
March 29, 2013
Programming
0
220
jaws-days 2013 yokohama IAM
JAWS DAYS 2013の横浜支部枠でIAMについて発表した資料です。
maroon1st
March 29, 2013
Tweet
Share
More Decks by maroon1st
See All by maroon1st
話題の AlloyDB は本当に凄いデータベースなのでプレビューを使い倒した #devio2022
maroon1st
0
13k
ただの CDN だけじゃない! Cloudflare の凄い所ご紹介 #AKIBASAAS
maroon1st
0
1.3k
re:Inventで妙なRDSが発表されてたので浦島太郎な自分が解説してみる
maroon1st
0
590
去年のre:Inventで発表されたサービスは1年経ってどうなった? /how-about-services-announced-at-reinvent-after-a-year
maroon1st
0
110
最近のAuroraのアップデート使いこなし術 /developersio2019-aurora-updates
maroon1st
0
2k
日本からは得られないre:MARS情報を収集してみた / Collect re:MARS information that cannot be obtained in Japan
maroon1st
0
590
お手軽にリージョン間DRができるAurora Global Databaseの実力を見てみた
maroon1st
0
2.4k
jawsug_yokohama_20181203.pdf
maroon1st
0
1k
英語できないマンでも死なないラスベガスの歩き方
maroon1st
0
1.6k
Other Decks in Programming
See All in Programming
設計の考え方とやり方
masuda220
PRO
49
27k
「混ぜるな危険」を推進する設計
minodriven
8
2.5k
ちょっとつよい足トラ
logilabo
0
380
Pythonで鉄道指向プログラミング
usabarashi
0
130
僕が便利だと感じる Snow Monkey の特徴/20220723_Gifu_WordPress_Meetup
oleindesign
0
110
クックパッドマートの失敗したデータ設計 Before / After 大放出
mokuzon
20
25k
VIMRC 2022
achimnol
0
130
読みやすいコード クラスメソッド 2022 年度新卒研修
januswel
0
2.9k
Now in Android Overview
aosa4054
0
390
ZOZOTOWNにおけるDatadogの活用と、それを支える全社管理者の取り組み / 2022-07-27
tippy
1
3.1k
SAM × Dockerでサーバーレス開発が超捗った話
yu_yukk_y
1
240
More Than Micro Frontends: 3 Further Use Cases for Module Federation @DWX 2022
manfredsteyer
PRO
0
360
Featured
See All Featured
Streamline your AJAX requests with AmplifyJS and jQuery
dougneiner
127
8.5k
Design by the Numbers
sachag
271
17k
Building a Scalable Design System with Sketch
lauravandoore
448
30k
Mobile First: as difficult as doing things right
swwweet
213
7.6k
実際に使うSQLの書き方 徹底解説 / pgcon21j-tutorial
soudai
39
13k
The Web Native Designer (August 2011)
paulrobertlloyd
75
2k
Templates, Plugins, & Blocks: Oh My! Creating the theme that thinks of everything
marktimemedia
15
980
Building Your Own Lightsaber
phodgson
95
4.7k
Pencils Down: Stop Designing & Start Developing
hursman
113
9.8k
Music & Morning Musume
bryan
35
4.3k
Making the Leap to Tech Lead
cromwellryan
113
7.4k
Optimizing for Happiness
mojombo
365
64k
Transcript
Do you use the IAM ? 如何にIAMを使いこなすか
お前だれよ? • @maroon1st • JAWS-UG 横浜支部コアメンバー • 某メーカー系SIer勤務 • アプリケーションエンジニア
↓ インフラエンジニア • 好きなAWSサービス:RDS、STS(Security Token Service) • 好きなCDP:Bootstrapパターン
みんな IAM使ってる?
通常操作で AWSアカウントを使っては
ダメ。ゼッタイ。
普通の操作を rootでしないのと 同じ!
IAMで 何ができる? 初級編
IAMで何ができる?初級編 •個人にIAMユーザを作成。 •アカウント共有はしない!
IAMで何ができる?初級編 権限は、IAM Groupで。 • Developer権限 • Operateor権限 • 経理/管理者権限 •
etc.
IAMで何ができる?初級編 IAM Groupはユーザ毎に最大10個。 グループ権限に工夫が必要。 注意
IAMで何ができる?初級編 Policy Template とか Policy Generatorで楽をしよう! http://awspolicygen.s3.amazonaws.com/policygen.html
IAMで 何ができる? 上級編 その1
IAMで何ができる?上級編 その1 社外アクセスの 制限はできる?
IAMで何ができる?上級編 その1 できます! 接続元のIPアドレスで アクセス制御
IAMで何ができる?上級編 その1 ConditionのNotIpAddressで設定! { "Statement": [ { "Effect": "Deny" "Deny"
"Deny" "Deny", "Action": "*", "Resource": "*", "Condition": { " " " "NotIpAddress NotIpAddress NotIpAddress NotIpAddress" " " ": {"aws:SourceIp":"192.0.2.1" } } } ] }
IAMで何ができる?上級編 その1 ConditionのNotIpAddressで設定! { "Statement": [ { "Effect": "Deny" "Deny"
"Deny" "Deny", "Action": "*", "Resource": "*", "Condition": { " " " "NotIpAddress NotIpAddress NotIpAddress NotIpAddress" " " ": {"aws:SourceIp":"192.0.2.1" } } } ] } EffectはDeny Conditionは NotIpAddressで設定 Allowで設定した場合、 別の権限を追加すると アクセスできてしまう。 EffectはDeny Conditionは NotIpAddressで設定 http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/AccessPolicyLa nguage_ElementDescriptions.html#Conditions_IPAddress
でも、最近流行の 「社内LAN撲滅運動」 の前では無意味かな?
IAMで 何ができる? 上級編 その2
IAMで何ができる?上級編 その2 一時的に発行した IAMユーザを 消し忘れる。 何とかならない?
IAMで何ができる?上級編 その2 できます! 削除はしないけど 有効期限設定が可能
IAMで何ができる?上級編 その2 ConditionのCurrentTimeで設定! { "Statement": [ { "Effect": "Deny" "Deny"
"Deny" "Deny", "Action": "*", "Resource": "*", "Condition": { " " " "DateGreaterThan DateGreaterThan DateGreaterThan DateGreaterThan" " " ": { " " " "aws:CurrentTime aws:CurrentTime aws:CurrentTime aws:CurrentTime" " " ": "2013-03-16T06:00:00Z" } } } ] }
IAMで何ができる?上級編 その2 ConditionのCurrentTimeで設定! { "Statement": [ { "Effect": "Deny" "Deny"
"Deny" "Deny", "Action": "*", "Resource": "*", "Condition": { " " " "DateGreaterThan DateGreaterThan DateGreaterThan DateGreaterThan" " " ": { " " " "aws:CurrentTime aws:CurrentTime aws:CurrentTime aws:CurrentTime" " " ": "2013-03-16T06:00:00Z" } } } ] } EffectはDeny Conditionは DateGreaterThan で設定 EffectはDeny Conditionは DateGreaterThan で設定 基本は"aws:CurrentTime" “aws:EpochTime“でUNIX時間も可能 http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/AccessPolicyLa nguage_ElementDescriptions.html#Conditions_Date
IAMで何ができる?上級編 その2 “aws:CurrentTime”は JSTでも記述可能! ISO 8601形式で "2013-03-16T15:00:00+09:00" http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/SupportedTypes.html
IAMで 何ができる? 上級編 その3
IAMで何ができる?上級編 その3 日々の作業で AWSアカウントを 使用したくない!
IAMで何ができる?上級編 その3 できます! (多分) AWSサポートも IAMユーザで使用可能
IAMで何ができる?上級編 その3 Actionで"support:*"を設定! { "Statement": [ { "Effect": "Allow", "Action":
" " " "sopport sopport sopport sopport:*" :*" :*" :*", "Resource": "*" } ] } http://aws.amazon.com/jp/premiumsupport/iam/
IAMで何ができる?上級編 その3 IAMでAWSサポート !!
IAMで何ができる?上級編 その3 AWSサポートのレベルは ビジネス以上が対応 開発者レベルは未対応! 注意
まとめ • AWSアカウントは出来る限り使わない • IAMユーザは1人1個で権限を分ける • IAMユーザもアクセス元制限可能 • IAMユーザも有効期限が設定可能 •
IAMには色々な権限がある
IAMはEnterprise向けだけ とは限りません。 IAMを使いこなしましょう!