AWS IAMポリシーのConditionを書くときの勘所

by MasahiroKawahara

Slide 1

Slide 1 text

*".ϙϦγʔͷ $POEJUJPOΛॻ͘ͱ͖ͷצॴ dΩʔͷՄ༻ੑͷ࿩d "84ࣄۀຊ෦ ઒ݪ੐େ

Slide 2

Slide 2 text

૝ఆࢹௌऀ Ø *".Ϣʔβʔϩʔϧͷݖݶ؅ཧΛ͍ͯ͠Δਓ ü $POEJUJPOΛ࢖ͬͨॊೈͳݖݶઃܭΛݕ౼த Ø "84Λֶश͍ͯ͠Δਓ ü ϕʔγοΫͳ*".ϙϦγʔ͸ॻ͍ͨ͜ͱ͕͋Δ ü $POEJUJPOͷࡉ͔͍࢖͍ํΛ೺Ѳ͍ͨ͠ 3

Slide 3

Slide 3 text

໨࣍ લఏ஌ࣝ ΩʔՄ༻ੑͷ࿩ $POEJUJPOઃܭͷ࿩ 4

Slide 4

Slide 4 text

5 લఏ஌ࣝ ✎τϐοΫ✎ *".ϙϦγʔ ϦΫΤετίϯςΩετ ৚݅Ωʔ ϙϦγʔม਺ $POEJUJPO۟

Slide 5

Slide 5 text

6 *".ϙϦγʔ

Slide 6

Slide 6 text

*".ϙϦγʔͱ͸ ݖݶΛఆΊͨ΋ͷɻ+40/ܗࣜͰॻ͘ Ø ୭͕ <1SJODJQBM> Ø ͲͷϦιʔεʹରͯ͠ <3FTPVSDF> Ø ͲͷΞΫγϣϯΛ <"DUJPO> Ø ೚ҙ Ͳͷ৚݅ԼͰ <$POEJUJPO>˞ࠓ೔ͷτϐοΫ Ø ڐՄڋ൱͢Δ͔ <&GGFDU> 7

Slide 7

Slide 7 text

*".ϙϦγʔཁૉͷΠϝʔδ ը૾"84ʹ͓͚Δ"#"$ͷخ͠͞ɺਏ͞ΛޠΓ·ͨ͠ ",*#""84c%FWFMPQFST*0 8

Slide 8

Slide 8 text

9 ϦΫΤετίϯςΩετ

Slide 9

Slide 9 text

ϦΫΤετίϯςΩετͱ͸ ϦΫΤετʹؔ͢Δ৘ใΛ·ͱΊͨ΋ͷ ڐՄڋ൱Λܾఆ͢ΔͨΊͷΠϯϓοτ 10

Slide 10

Slide 10 text

ϦΫΤετίϯςΩετͷΩʔ ৚݅Ωʔ ͱ͸ ಛఆཁૉΛࢦͨ͢ΊͷΩʔ ৚݅Ωʔͱ΋ݺͿ ओʹ$POEJUJPO۟Ͱ࢖͏ͨΊ 11

Slide 11

Slide 11 text

12 ৚݅Ωʔ

Slide 12

Slide 12 text

৚݅Ωʔͷछྨ छྨ͋Δ Ø άϩʔόϧ৚݅Ωʔ ྫ aws:username Ø αʔϏεݻ༗ͷ৚݅Ωʔ ྫ ec2:Vpc 13

Slide 13

Slide 13 text

άϩʔόϧ৚݅Ωʔ 14 AWS グローバル条件コンテキストキー - AWS Identity and Access Management

Slide 14

Slide 14 text

αʔϏεݻ༗ͷ৚݅Ωʔ ˞Ϧιʔε୯Ґ ΋͘͠͸ ΞΫγϣϯ YϦιʔε୯Ґ 15 AWS のサービスのアクション、リソース、および条件キー - サービス認証リファレンス

Slide 15

Slide 15 text

16 ϙϦγʔม਺

Slide 16

Slide 16 text

ϙϦγʔม਺ ʮϦΫΤετίϯςΩετͷΩʔͷ஋ʯΛࢦ͢΋ͷ ͜ΕΛ*".ϙϦγʔͷ஋ʹࢦఆͰ͖Δ 17

Slide 17

Slide 17 text

18 $POEJUJPO۟

Slide 18

Slide 18 text

*".ϙϦγʔͷ$POEJUJPO۟ ϙϦγʔ͕ద༻ ڐՄڋ൱ ͞ΕΔ৚݅Λهड़Ͱ͖Δ 19

Slide 19

Slide 19 text

$POEJUJPO׆༻ͷྫ Ø ৚݅Ωʔ Ø ৚݅Ωʔͷ஋ Ø ৚݅ԋࢉࢠ 20

Slide 20

Slide 20 text

$POEJUJPO׆༻ͷྫ ৚݅Ωʔ Ø ৚݅Ωʔ Ø ৚݅Ωʔͷ஋ Ø ৚݅ԋࢉࢠ 21 ϦΫΤετίϯςΩετͷΩʔ

Slide 21

Slide 21 text

$POEJUJPO׆༻ͷྫ ৚݅Ωʔͷ஋ Ø ৚݅Ωʔ Ø ৚݅Ωʔͷ஋ Ø ৚݅ԋࢉࢠ 22 ۩ମతͳจࣈྻ਺஋ɺ΋͘͠ ͸ϙϦγʔม਺

Slide 22

Slide 22 text

$POEJUJPO׆༻ͷྫ ৚݅ԋࢉࢠ Ø ৚݅Ωʔ Ø ৚݅Ωʔͷ஋ Ø ৚݅ԋࢉࢠ 23 ʮ৚݅Ωʔͷ஋ʯͱʮ࣮ࡍͷϦ ΫΤετίϯςΩετͷ஋ʯΛ Ͳͷج४Ͱൺֱ͢Δ͔

Slide 23

Slide 23 text

৚݅ԋࢉࢠͷྫ Ø จࣈྻͷൺֱ StringEquals/StringNotEquals Ø ਺஋ͷൺֱ NumericLessThan/NumericGreaterThan Ø ৚݅Ωʔͷ༗ແνΣοΫNull Ø ͳͲ 24

Slide 24

Slide 24 text

ࢀߟ ͲΕ͕৚݅ΩʔʁͲΕ͕ϙϦγʔม਺ʁ Ø ৚݅Ωʔ Ø $POEJUJPO۟Ͱ࢖͏ Ø +40/ͷʮΩʔʯ෦෼Ͱ࢖͏ Ø ϙϦγʔม਺ Ø $POEJUJPO۟ ΋͘͠͸ 3FTPVSDF۟Ͱ࢖͏ Ø +40/ͷʮΩʔͷ஋ʯ෦෼Ͱ࢖͏ Ø ${} ͰׅΔ 25

Slide 25

Slide 25 text

ࢀߟ ϙϦγʔͷධՁ࿦ཧ"/% 03 26 ը૾4όέοτϙϦγʔͷ۩ମྫͰֶͿ"84ͷ1PMJDZυΩϡϝϯτ c%FWFMPQFST*0

Slide 26

Slide 26 text

27 ΩʔՄ༻ੑͷ࿩ ✎τϐοΫ✎ ΩʔͷՄ༻ੑ ৚݅Ωʔ͕ແ͍ͱ͖ͷڍಈ ϙϦγʔม਺͕ແ͍ͱ͖ͷڍಈ

Slide 27

Slide 27 text

͸͡Ίʹ·ͱΊ Ø ϦΫΤετίϯςΩετͷΩʔʹ͸Մ༻ੑ͕͋Δ Ø ࢦఆͨ͠৚݅Ωʔ͕ແ͍ͱ͖ɺෆҰக GBMTF ͱ͠ ͯѻΘΕΔ ü ූ߸൓సܥͷ৚݅ԋࢉࢠͷ৔߹ɺUSVFʹͳΔ Ø ࢦఆͨ͠ϙϦγʔม਺͕ແ͍ͱ͖ɺͦͷεςʔτ ϝϯτ͸ແޮʹͳΔ 28

Slide 28

Slide 28 text

29 ΩʔͷՄ༻ੑ

Slide 29

Slide 29 text

ΩʔͷՄ༻ੑʁ ϦΫΤετͷ಺༰࣍ୈͰɺಛఆΩʔ͕ ଘࡏ͢Δέʔεɺଘࡏ͠ͳ͍έʔε͕͋Δ 30

Slide 30

Slide 30 text

ΩʔͷՄ༻ੑͷௐ΂ํ άϩʔόϧ৚݅Ωʔ υΩϡϝϯτʹهࡌ 31 AWS グローバル条件コンテキストキー #aws:ResourceTag - AWS Identity and Access Management

Slide 31

Slide 31 text

ΩʔͷՄ༻ੑͷௐ΂ํ αʔϏεݻ༗ͷ৚݅Ωʔ Ϧιʔε୯Ґ ΋͘͠͸ΞΫγϣϯ º Ϧιʔε୯ҐͰՄ༻ੑ͕ܾఆ 32 AWS のサービスのアクション、リソース、および条件キー - サービス認証リファレンス

Slide 32

Slide 32 text

Ωʔແ͍ͱ͖ͷڍಈΛ೺Ѳ͠Α͏ Ø ࢦఆͨ͠ʮ৚݅Ωʔʯ͕ແ͍ͱ͖ Ø ࢦఆͨ͠ʮϙϦγʔม਺ʯ͕ແ͍ͱ͖ 33

Slide 33

Slide 33 text

Ωʔແ͍ͱ͖ͷڍಈΛ೺Ѳ͠Α͏ Ø ࢦఆͨ͠ʮ৚݅Ωʔʯ͕ແ͍ͱ͖ Ø ࢦఆͨ͠ʮϙϦγʔม਺ʯ͕ແ͍ͱ͖ 34

Slide 34

Slide 34 text

ࢦఆͨ͠ʰ৚݅Ωʔʱ͕ແ͍ͱ͖ͷڍಈ ෆҰக GBMTF ͱͯ͠ѻΘΕΔ 35

Slide 35

Slide 35 text

ࢦఆͨ͠ʰ৚݅Ωʔʱ͕ແ͍ͱ͖ͷڍಈ ⾠ ͨͩ͠ʮNot ৚݅ԋࢉࢠʯͷ৔߹͸ USVF ʹͳΔ 36

Slide 36

Slide 36 text

Ωʔແ͍ͱ͖ͷڍಈΛ೺Ѳ͠Α͏ Ø ࢦఆͨ͠ʮ৚݅Ωʔʯ͕ແ͍ͱ͖ Ø ࢦఆͨ͠ʮϙϦγʔม਺ʯ͕ແ͍ͱ͖ 37

Slide 37

Slide 37 text

ࢦఆͨ͠ʰϙϦγʔม਺ʱ͕ແ͍ͱ͖ͷڍಈ ⾠ εςʔτϝϯτ͕ແޮʹͳΔ 38

Slide 38

Slide 38 text

39 ͜͜Ͱ໰୊

Slide 39

Slide 39 text

͜͜Ͱ໰୊ ʲέʔεʳ ʲέʔεʳ͸ %FOZ͞ΕΔ PS͞Εͳ͍ʁ 40

Slide 40

Slide 40 text

͜͜Ͱ໰୊ ʲέʔεʳ ʲέʔεʳ͸ %FOZ͞ΕΔ PS͞Εͳ͍ʁ 41 ʮϓϦϯγύϧ ϩʔϧ ͷ 1SPKFDUλά஋ʯͱ ʮϦιʔε &$ ͷ 1SPKFDUλά஋ʯ͕ Ұக͠ͳ͍ͱ͖ʹ &$ΠϯελϯεͷىಈఀࢭΛڋ൱͢Δ

Slide 41

Slide 41 text

͜͜Ͱ໰୊ ʲέʔεʳ ʲέʔεʳ͸ %FOZ͞ΕΔ PS͞Εͳ͍ʁ 42 ʲέʔεʳ ϩʔϧʹ1SPKFDUλάΛ෇͚๨Εͨ

Slide 42

Slide 42 text

͜͜Ͱ໰୊ ʲέʔεʳ ʲέʔεʳ͸ %FOZ͞ΕΔ PS͞Εͳ͍ʁ 43 ʲέʔεʳ Πϯελϯεʹ1SPKFDUλάΛ෇͚๨Εͨ

Slide 43

Slide 43 text

͜͜Ͱ໰୊ ʲέʔεʳ ʲέʔεʳ͸ %FOZ͞ΕΔ PS͞Εͳ͍ʁ 44

Slide 44

Slide 44 text

·ͣ౴͑ ʲέʔεʳ͸%FOZ͞ΕΔ ʲέʔεʳ͸%FOZ͞Εͳ͍ 45

Slide 45

Slide 45 text

ʲέʔεʳ͸%FOZ͞ΕΔ ৚݅Ωʔ͕ແ͍ঢ়ଶͳͷͰ ෆҰக GBMTF ѻ͍ ‑ ͨͩɺ৚݅ԋࢉࢠ͸ StringNotEquals ‑ ූ߸൓సͷ৚݅ԋࢉࢠͳͷͰɺ USVF ʹͳΔ ‑ ϙϦγʔ͸࣮ߦ %FOZ 46

Slide 46

Slide 46 text

ʲέʔεʳ͸%FOZ͞Εͳ͍ ϙϦγʔม਺͕ແ͍ঢ়ଶ ‑ εςʔτϝϯτ͸ແޮ ‑ ϙϦγʔ͸࣮ߦ͞Εͳ͍ %FOZ͞Εͳ͍ 47

Slide 47

Slide 47 text

48 $POEJUJPOઃܭͷ࿩ ✎τϐοΫ✎ IfExists, Null, ϙϦγʔม਺ͷσϑΥϧτ஋

Slide 48

Slide 48 text

49 ৚݅ΩʔΛߟྀͨ͠ $POEJUJPOઃܭ

Slide 49

Slide 49 text

৚݅Ωʔͷ৔߹ Ωʔ͕ແ͍ͱ͖ͷʮϙϦγʔΛ࣮ߦ͢Δ͠ͳ͍ʯΛ ίϯτϩʔϧ͠Α͏ʂ Ø USVF ϙϦγʔΛ࣮ߦ͢Δ ͱ͍͔ͨ͠ Ø GBMTF ϙϦγʔΛ࣮ߦ͠ͳ͍ ͱ͍͔ͨ͠ 50

Slide 50

Slide 50 text

ʮ৚݅Ωʔ͕ແ͍ʯͱ͖ʹ USVF ʹ͢Δ ...IfExists ৚݅ԋࢉࢠΛ࢖͓͏ʂ Ø NullΛআ͘ શͯͷ৚݅ԋࢉࢠͷ຤ඌʹ௥ՃՄೳ ü ৚݅Ωʔ͕ແ͍ͱ͖ʹ USVF ͱͳΔ 51 ✎ϙΠϯτ✎ ʮ৚݅ԋࢉࢠʹࠨӈ͞Εͳ͍ʯ

Slide 51

Slide 51 text

ʮ৚݅Ωʔ͕ແ͍ʯͱ͖ʹ GBMTF ʹ͢Δ “Null”: {“key”: false} Λ௥ه͠Α͏ʂ Ø Null͸ ৚݅Ωʔͷଘࡏ൑ఆͰ࢖͑Δ৚݅ԋࢉࢠ ü ஋͸ USVF Ωʔ͕ଘࡏ͠ͳ͍ ·ͨ͸ GBMTF Ωʔ͕ଘࡏ͢Δ 52 ✎ϙΠϯτ✎ ʮ৚݅ԋࢉࢠʹࠨӈ͞Εͳ͍ʯ

Slide 52

Slide 52 text

53 ϙϦγʔม਺Λߟྀͨ͠ $POEJUJPOઃܭ

Slide 53

Slide 53 text

ϙϦγʔม਺ͷ৔߹ Ωʔ͕ແ͍ͱ͖ͷڍಈΛίϯτϩʔϧ͠Α͏ʂ Ø σϑΥϧτ஋ͷࢦఆ Ø Null ͷ໌ࣔతͳهࡌ 54

Slide 54

Slide 54 text

ϙϦγʔม਺ͷ σϑΥϧτ஋ ࢦఆ Ωʔ͕ແ͍ͱ͖ͷσϑΥϧτ஋ΛࢦఆՄೳ ॻ͖ํ${key,‘default-value’} 55 ✎ϙΠϯτ✎ ʮεςʔτϝϯτແޮԽΛճආʯ

Slide 55

Slide 55 text

Null ͷ໌ࣔతͳهࡌ Null Λ໌ࣔతʹهࡌͯ͠ ʮΩʔ͕͋ΔલఏͷεςʔτϝϯτʯΛࣔ͢ 56 ✎ϙΠϯτ✎ ʮϙϦγʔ࣮ߦ৚݅Λ໌ࣔతʹهࡌʯ

Slide 56

Slide 56 text

Null ͷ໌ࣔతͳهࡌ 57 ➥Ωʔ͕ͳ͍ͱ͖ Ø /VMMͷ෦෼Ͱ GBMTFͱͳΔ Ø ͜ͷ࣌఺Ͱ $POEJUJPO෦෼͕ GBMTFʹͳ Δ͜ͱ͕֬ఆ͢Δ˞ Ø ϙϦγʔ͸࣮ߦ͞Εͳ͍ ➥Ωʔ͕ͳ͍ͱ͖ Ø ϙϦγʔม਺ʹࢦఆͨ͠Ωʔ͕ແ͍ Ø εςʔτϝϯτ͕ແޮʹͳΔ Ø ϙϦγʔ͸࣮ߦ͞Εͳ͍ ˞$POEJUJPO͸શ৚݅ͷ"/%Ͱ ධՁ͞ΕΔͨΊ

Slide 57

Slide 57 text

58 ·ͱΊ

Slide 58

Slide 58 text

·ͱΊ ΩʔͷՄ༻ੑͱڍಈͷ࿩ Ø ϦΫΤετίϯςΩετͷ Ωʔʹ͸Մ༻ੑ͕͋Δ Ø ৚݅Ωʔ͕ແ͍ͱ͖͸ ෆҰக GBMTF ü /PUܥͷ৔߹͸ USVF Ø ϙϦγʔม਺͕ແ͍ͱ͖͸ εςʔτϝϯτແޮ 59 ϙϦγʔม਺ ੍ޚͷ࿩ Ø σϑΥϧτ஋ͷࢦఆ Ø Nullͷ໌ࣔతͳهࡌ ৚݅Ωʔ ੍ޚͷ࿩ Ø USVFʹ͍ͨ͠ͱ͖͸ IfExists Ø GBMTFʹ͍ͨ͠ͱ͖͸ Null

Slide 59

Slide 59 text

No content

Slide 60

Slide 60 text

ࢀߟ • "84 • "84άϩʔόϧ৚݅ίϯςΩετΩʔ "84*EFOUJUZBOE"DDFTT.BOBHFNFOU • "84ͷαʔϏεͷΞΫγϣϯɺϦιʔεɺ͓Αͼ৚݅Ωʔ αʔϏεೝূϦϑΝϨϯε • *".+40/ϙϦγʔཁૉ৚݅ԋࢉࢠ "84*EFOUJUZBOE"DDFTT.BOBHFNFOU • ϙϦγʔͷཁૉม਺ͱλά "84*EFOUJUZBOE"DDFTT.BOBHFNFOU • %FWFMPQFST*0 • 4όέοτϙϦγʔͷ۩ମྫͰֶͿ"84ͷ1PMJDZυΩϡϝϯτ c%FWFMPQFST*0 • ʲ"84*".ʳ$POEJUJPOͷ৚݅Ωʔ΍ϙϦγʔม਺͸Մ༻ੑΛҙࣝ͠Α͏ʂͱ͍͏࿩ c %FWFMPQFST*0 • খωλ"84*".ϙϦγʔͷ $POEJUJPOͰ࢖͑Δ৚݅ԋࢉࢠ l/VMMzͷ࢖͍ΈͪΛߟ͑Δ c %FWFMPQFST*0 • "84ʹ͓͚Δ"#"$ͷخ͠͞ɺਏ͞ΛޠΓ·ͨ͠ ",*#""84c%FWFMPQFST*0 61