IAM_Role

Transcript

1. IAM Roleって何のためにある？
2. I AM policy
3. IAM policy
4. IAM policy AWSリソースを操作するための権限 （アクションの許可＝Permission）
5. 例えば、EC2からS3にアクセスする場合
6. EC2 S3 EC2作成時点では権限が何もないので S3にアクセスできない
7. EC2 S3 EC2作成時点では権限が何もないので S3にアクセスできない Why?
8. EC2 S3 EC2作成時点では権限が何もないので S3にアクセスできない Why? AWSでは最⼩権限の原則がベストプラクティスに挙げられており、 まず権限のないリソースを作成し、そこに必要最⼩限の権限を 付与していくというアプローチを取っているから 参考：最⼩権限実現への4ステップアプローチ 前編 https://aws.amazon.com/jp/blogs/news/systematic-approach-for-least-privileges-jp/
9. EC2 S3 AmazonS3FullAccess これが必要 Permissions IAM
10. EC2 S3 AmazonS3FullAccess これが必要 Permissions IAM 補⾜） FullAccessは全てのS3オブジェクトに対してなんでもできる権限。 実際には「読み取り専⽤」など、権限の範囲をもっと狭める。
11. EC2 S3 AmazonS3FullAccess Permissions IAM 直接はアタッチできない
12. I AM Role
13. IAM policy IAM Role AWSリソースを操作するための権限 （アクションの許可＝Permission）
14. IAM policy IAM Role IAM policyのグループ AWSリソースを操作するための権限 （アクションの許可＝Permission）
15. 例えば、EC2からS3とCloudWatchにアクセスする場合
16. EC2 S3 CloudWatch
17. EC2 S3 CloudWatch AmazonS3FullAccess CloudWatchLogsFullAccess Permissions Permissions この2つが必要
18. EC2 S3 CloudWatch AmazonS3FullAccess CloudWatchLogsFullAccess Permissions Permissions RoleにPermission(policy) を与える Role
19. EC2 S3 CloudWatch AmazonS3FullAccess CloudWatchLogsFullAccess Permissions Permissions RoleにPermission(policy) を与える Role Role RoleをAWSリソースに アタッチする
20. EC2 S3 直接はアタッチできない AmazonS3FullAccess Permissions IAM Why?
21. ここまでの話を会社に置き換えてみる
22. ⽥中さん（EC2） 営業部に所属 営業部（S3） 財務部（CloudWatch） ⼈事部（エンジニア）
23. ⽥中さん（EC2） 営業部に所属 営業部（S3） 財務部（CloudWatch） ⼈事部（エンジニア） 「営業部所属の社員は営業部と財務部に⼊室できる」という設定
24. ⽥中さん（EC2） 営業部（S3） 財務部（CloudWatch） 今⽇はXX会社と商談して、 時間のある時に財務部に 書類を提出しよう。
25. ⽥中さん（EC2） 営業部（S3） 財務部（CloudWatch） それぞれの部署の執務エリア への⼊室権限が必要
26. IAM Roleがないと・・・
27. ⽥中さん（EC2） ⼈事部（エンジニア） 営業部と財務部への⼊室 権限を付与します〜 （ポチポチっと）
28. ⽥中さん（EC2） ⼈事部（エンジニア） 指紋などの⽣体認証で “直接”権限を付与
29. ⽥中さん（EC2） ⼈事部（エンジニア） ※グループの概念がないと、 毎回ポチポチする必要がある。 （ここ重要）
30. 1⼈だったらいいけど・・・
31. ⼈事部（エンジニア） ⽥中さん（EC2）佐藤さん（EC2） ⾼橋さん（EC2） ⼭⼝さん（EC2）川上さん（EC2） 井上さん（EC2） 遠藤さん（EC2）⼭⽥さん（EC2） 岡⽥さん（EC2） お願いします！！ お願いします！！ お願いします！！ お願いします！！ お願いします！！ お願いします！！ お願いします！！ お願いします！！ お願いします！！ は〜い順番にやりますね〜
32. ⼈事部（エンジニア） ⽥中さん（EC2）佐藤さん（EC2） ⾼橋さん（EC2） ⼭⼝さん（EC2）川上さん（EC2） 井上さん（EC2） 遠藤さん（EC2）⼭⽥さん（EC2） 岡⽥さん（EC2） お願いします！！ お願いします！！ お願いします！！ お願いします！！ お願いします！！ お願いします！！ お願いします！！ お願いします！！ お願いします！！ あ゛あ゛ウザってぇ・・・ は〜い順番にやりますね〜
33. だから
34. 社員証（IAM Role）
35. 社員証（IAM Role） 営業部に必要な権限（営業部と財務部）が付いている！
36. ⽥中さん（EC2） 佐藤さん（EC2） ⾼橋さん（EC2） ⼭⼝さん（EC2） 川上さん（EC2） 井上さん（EC2） 遠藤さん（EC2） ⼭⽥さん（EC2） 岡⽥さん（EC2） ⼈事部（エンジニア） 社員証渡します〜
37. ⽥中さん（EC2） 佐藤さん（EC2） ⾼橋さん（EC2） ⼭⼝さん（EC2） ⽥中さん（EC2） ⽥中さん（EC2） 遠藤さん（EC2） ⼭⽥さん（EC2） 岡⽥さん（EC2） ⼈事部（エンジニア） 社員証渡します〜 ⼊室権限のついた社員証を渡すだけ
38. こうすると・・・
39. ⽥中さん（EC2） 佐藤さん（EC2） ⾼橋さん（EC2） ⼭⼝さん（EC2） 川上さん（EC2） 井上さん（EC2） 遠藤さん（EC2） ⼭⽥さん（EC2） 岡⽥さん（EC2） 全員財務部の⼊室権限がなくなり、 企画部への⼊室権限が付与される。 営業部（S3） 財務部（CloudWatch） 企画部（Systems Manager）
40. 補⾜） 実際の社員証はこんな感じで共通権限＋個別権 限が付いていて柔軟に対応できるようになって いる・・・？ （間違っていたらすみません）
41. まとめ
42. IAM Roleという”グループ”がないと、リソースを作成する度に毎回「操作したい リソースに対するPermission(policy)」を付与する必要がある
43. IAM Roleという”グループ”がないと、リソースを作成する度に毎回「操作したい リソースに対するPermission(policy)」を付与する必要がある ＝ ⾯倒だし、管理が煩雑になる
44. IAM Roleという”グループ”がないと、リソースを作成する度に毎回「操作したい リソースに対するPermission(policy)」を付与する必要がある ＝ ⾯倒だし、管理が煩雑になる だから、IAM Roleという「Permissionの”グループ”」を作成し、それをリソース にアタッチする
45. おわり
46. 参考 • AWSのIAMロールとポリシーの違い https://qiita.com/montama/items/90bb8a3973d101be4690 • 最⼩権限実現への4ステップアプローチ 前編 https://aws.amazon.com/jp/blogs/news/systematic-approach-for-least- privileges-jp/ • いらすとや https://www.irasutoya.com/