AWS Identity and Access Management

Slide 1

Slide 1 text

AWS Identity and Access Management AWS Identity and Access Management ISOBE Kazuhiko (cloudpack) JAWS-UG北陸 2012-01-20 Powered by Rabbit 1.0.4 and COZMIXNG

Slide 2

Slide 2 text

提供このLTはcloudpackの提供でお送りいたします 01 46

Slide 3

Slide 3 text

自己紹介 Twitter: muramasa64 cloudpackでAWSを運用好きなAWSサービス: API 02 46

Slide 4

Slide 4 text

IAMとは AWSでアカウントを作成・管理する機能 2010年9月にリリース 2011年5月に正式版へ 03 46

Slide 5

Slide 5 text

なぜIAMを使うのか AWSアカウントはrootと同じ管理者以外が特定の作業をするときは権限を適切に設定するべき IAMでアカウントと権限を管理 04 46

Slide 6

Slide 6 text

IAMでできること IAMアカウントを作成できる IAMアカウントを削除できるアカウント別に権限を付与できる権限は細かく指定することが可能アカウントをグルーピングできるグループに権限を付与できる 05 46

Slide 7

Slide 7 text

IAMでできることアクセスキーIDが使える X.509証明書も使える自分で作成して登録する 06 46

Slide 8

Slide 8 text

IAMでできること AWS Management Consoleも使える専用のサインインページがある与えられた権限のみ有効な状態になる 07 46

Slide 9

Slide 9 text

IAMでできること既存の認証システムを使って AWS APIにアクセスできる (Identity Federation:ID統合) 08 46

Slide 10

Slide 10 text

ニュース Identity FederationがAWS Management Consoleに対応しました(本日発表) 今日はIdentity Federationの話はしません(すみません) 09 46

Slide 11

Slide 11 text

主なユースケースアプリケーションで使う委託する 10 46

Slide 12

Slide 12 text

アプリケーションで使う SimpleDBを使ったアプリ SimpleDBのみ権限を付与他のサービスは使えないようにできるので安全 11 46

Slide 13

Slide 13 text

アプリケーションで使うログをS3に書きだすアプリ S3の特定バケットに書き込む権限のみ書きこむだけでリストを見ることすらできなくできる 12 46

Slide 14

Slide 14 text

アプリケーションで使う Snapshotを作ってバックアップするスクリプト sudoで実行できるコマンドを制限するイメージ 13 46

Slide 15

Slide 15 text

委託する運用会社にアカウントを渡すアカウントの管理以外の権限を付与する (PowerUser) IAMも使えてしまうと権限をいじり放題なのでそこは外す 14 46

Slide 16

Slide 16 text

委託する CloudWatchだけみたい CloudWatchのみ読み取り権限を付与する AWS Management Console用にパスワードも設定する 15 46

Slide 17

Slide 17 text

IAMでできないこと経理担当者に請求関連だけ見られるようにする残念ながら今はできません 16 46

Slide 18

Slide 18 text

作り方　 17 46

Slide 19

Slide 19 text

ユーザ一覧　 18 46

Slide 20

Slide 20 text

Create User 　 19 46

Slide 21

Slide 21 text

Create User 　 20 46

Slide 22

Slide 22 text

Permissionsタブ　 21 46

Slide 23

Slide 23 text

ポリシーの追加　 22 46

Slide 24

Slide 24 text

ポリシーの追加　 23 46

Slide 25

Slide 25 text

Security Credentials 　 24 46

Slide 26

Slide 26 text

パスワード設定 25 46

Slide 27

Slide 27 text

パスワード設定 26 46

Slide 28

Slide 28 text

IAM用Sign In 27 46

Slide 29

Slide 29 text

IAMでログインしたときの表示 28 46

Slide 30

Slide 30 text

AWS Multi-Factor Authentication AWS多要素認証 (MFA) 通常のAWSアカウントとパスワードに加えて、利用者が物理的に所有している認証デバイスから有効な6桁の数字(ワンタイムパスワード)を使って認証する 29 46

Slide 31

Slide 31 text

認証デバイス　 30 46

Slide 32

Slide 32 text

IAMアカウントでの設定　 31 46

Slide 33

Slide 33 text

ハードデバイスの登録 32 46

Slide 34

Slide 34 text

デバイスを登録シリアルナンバーと、デバイスに表示される6桁の数字をふたつ入力する 33 46

Slide 35

Slide 35 text

シリアルナンバー　 34 46

Slide 36

Slide 36 text

登録完了　 35 46

Slide 37

Slide 37 text

MFAサインイン 36 46

Slide 38

Slide 38 text

敷居が高い？デバイスを購入しないと使えない？スマートフォンを持っていれば使えます！ 37 46

Slide 39

Slide 39 text

Google Authenticator 　 38 46

Slide 40

Slide 40 text

Google Authenticator 物理デバイスと同様に使える複数のアカウントを登録できる iOS, Android, Blackberryに対応 39 46

Slide 41

Slide 41 text

デバイスを登録 40 46

Slide 42

Slide 42 text

アプリの説明 41 46

Slide 43

Slide 43 text

QRコードが表示される 42 46

Slide 44

Slide 44 text

QRコードをスキャン 43 46

Slide 45

Slide 45 text

登録完了 44 46

Slide 46

Slide 46 text

まとめ IAMを活用しましょうなんでもroot権限で実行しないのと同じアカウントをよりセキュアにしたければMFAを検討しましょう 45 46