2019年11月9日土曜に開催された JAWS-UG 大分で利用したスライドです。 「バックオフィスのための AWS IAM 入門」として、AWS IAM の基本的内容をお話しました。

1. バックオフィスのための AWS IAM ⼊⾨

2. ⾃⼰紹介
• ソリューションアーキテクト
• Linux、ネットワークなど、インフラエンジニア（Web限定）
からWebサービス開発・運⽤まで
• ⽣まれも育ちも福岡
• 好きな AWS サービス
- Amazon VPC, Amazon CloudWatch
- AWS Identity and Access Management (IAM)
内村 和博 - 株式会社ペンシル

3. 内容についての諸注意
• 本資料は2019年11⽉時点の製品、サービス内容を記載しています。最新
の情報に関しては各種公式サイト、マニュアル等をご確認下さい。
• 本資料作成の際には⼗分注意しておりますが、内容に公式と相違がある場
合は公式を優先とさせていただきます。

4. 今⽇お話する内容
• 今⽇お話する内容
- まだ AWS を利⽤していない情報システム担当者・総務担当者向け
- または、ワークロードに載せていない、PoC 以前の検証段階開発者向け
• 今⽇お話しない内容
- AWS STS を使った⼀時的セキュリティ認証情報
- AWS リソースへの具体的なアクセスコントロール
- 社内ディレクトリーとの統合

5. AWS アカウント
（ルートアカウント）

6. AWS アカウント と AWS IAM ユーザー
• AWS アカウント作成の流れ
- https://aws.amazon.com/jp/register-flow/
• AWS Identity and Access Management (IAM)
- AWS リソースを安全に操作するために、認証・認可の仕組みを提供す
るマネージドサービス

7. https://aws.amazon.com/jp/register-flow/

8. AWS アカウント（ルートアカウント）の⽤途・できること
• 契約者情報の詳細閲覧、変更
• AWS サポートプラン変更
• AWS アカウントの解約
• 請求情報・⽀払情報の参照、変更
• Amazon EC2 の逆引き DNS 申請
• Amazon CloudFront キーペア作成
• GovCloud へのサインアップ
• Amazon Route53 取得ドメイン名
アカウント間以降
• など

9. AWS アカウント（ルートアカウント）の重要性
• 常時不使⽤の原則
• 管理⽅法（厳格化）
- 多要素認証デバイスによる認証
- Virtual MFA Device
Authy (Twilio)
AppStore (https://itunes.apple.com/us/app/authy/id494168017)
GooglePlay (https://play.google.com/store/apps/details?id=com.authy.authy)

10. https://www.amazon.com/dp/B018Y1Q71M
https://www.amazon.com/dp/B00J4NGUO4
https://www.amazon.com/dp/B01MTK3BA2

11. AWS アカウント と AWS IAM ユーザー
• AWS アカウント作成の流れ
- https://aws.amazon.com/jp/register-flow/
• AWS Identity and Access Management (IAM)
- AWS リソースを安全に操作するために、認証・認可の仕組みを提供す
るマネージドサービス

12. AWS Identity and Access
Management (IAM)

13. AWS Identity and Access
Management (IAM)
AWS Identity and Access Management (IAM)とは
• AWS リソースを安全に操作するために、認証・認可の仕組みを提供するマネージドサービス
• 各 AWS リソースに対して別々のアクセス権限をユーザー毎に付与できる
• 多要素認証 Multi-Factor Authentication (MFA) によるセキュリティの強化
• ⼀時的な認証トークンを⽤いた権限の委任
- 他のIDプロバイダーで認証されたユーザーにAWSリソースへの⼀時的なアクセス
• 世界中の AWS リージョンで同じアイデンティティと権限を利⽤可能
- データ変更は結果整合性を保ちながら全リージョンに伝搬
• AWS IAM ⾃体の利⽤は無料

14. AWS Identity and Access
Management (IAM)
AWS IAM 要素
• ポリシー
• ユーザー
• グループ
• ロール
Permissions
Users Groups
Role

15. https://aws.amazon.com/jp/aws-jp-introduction/aws-jp-webinar-service-cut/

16. AWS Identity and Access
Management (IAM)
AWS IAM ポリシー
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "*",
"Resource": "*"
}
]
}
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AWSTransferRequirements",
"Effect": "Allow",
"Action": [
"s3:ListAllMyBuckets",
"s3:GetBucketLocation"
],
"Resource": "*"
},
{
"Sid": "ListHomeDir",
"Effect": "Allow",
"Action": "s3:ListBucket",
"Resource": [
"arn:aws:s3:::hogebucket",
“arn:aws:s3:::fugabucket"
]

17. AWS Identity and Access
Management (IAM)
AWS IAM ポリシー
• 最⼩権限を付与する
• 慣れないうちは専任のエンジニアのサポートを受ける
• または AWS 管理ポリシーを利⽤するのも選択の⼀つ

18. クレデンシャル情報

19. AWS リソースの利⽤⽅法とクレデンシャル情報
• GUI で AWS リソースを操作する
- AWS Management Console の「ログインID と パスワード」
• CLI で AWS リソースを操作する
- アクセスキー

20. 「アクセスキー」とは
• 2つの⽂字列のペアで構成される
「アクセスキーID」と「シークレットアクセスキー」
• AWS アカウントのルートユーザーまたは
AWS IAM ユーザーの⻑期的な認証情報
• ⼿動で削除（または無効化）するまで有効
• AWS CLI や AWS SDK などからリクエストに署名
• 最⼤2つのアクセスキーを持つことができる

21. アクセスキーの注意点
• AWS アカウント（ルートユーザー）アクセスキーは、
利⽤しない・削除する
• 開発者向けに発⾏
• プログラムコード上にアクセスキーを書き込み、流出するケース

22. CLI と API
• アクセスキーは CLI での利⽤に限定
• API 利⽤⽬的にアクセスキーは利⽤しない
- 例 Amazon EC2 インスタンス プロファイル（AWS IAM ロール）
• アクセスキーを API または別サービスで利⽤する場合は
ポリシー最⼩権限に
- AWS リソースの権限を最⼩化
- 利⽤元（アクセス元）を制限する
Role

23. AWS を管理するうえで

24. AWS IAM の管理
• 管理者と利⽤者を明確に分離する
- 管理者＝情報システム担当者・総務担当者
- 利⽤者＝開発者・システム運⽤担当者

25. AWS が推奨する AWS IAM のベストプラクティス
• ユーザーの強⼒なパスワードポリシーを設定
• クレデンシャル情報の定期的なローテーション
• ルートユーザーを普段利⽤しない
• MFA（多要素認証）の有効化
• アクセスキーの発⾏を最⼩にとどめる
- 管理者は AWS IAM ユーザーの⽤途にわせてポリシーを作成、配布
• EC2インスタンス⽤IAMロールの使⽤
- 開発者は管理者から与えられたユーザー、アクセスキーまたはロールにて開発

26. AWS アカウントのアクティビティの監視
• AWS CloudTrail
- AWS アカウントのガバナンス、コンプライアンス、運⽤監査、リスク
監査を⾏うためのサービス
- AWS アカウント内の API 使⽤状況を追跡・収集
• AWS Config
- AWS リソースの設定を評価、監査、審査できるサービス
- リソースの設定を継続的にモニタリングし変更があれば検知

27. Appendix
❖ AWS クラウドサービス活⽤資料集
https://aws.amazon.com/jp/aws-jp-introduction/
❖ [AWS Black Belt Online Seminar] AWS Identity and Access Management (AWS IAM) Part1 資料公開 |
Amazon Web Services ブログ
https://aws.amazon.com/jp/blogs/news/webinar-bb-aws-iam-part1-2019/
❖ AWS クラウドサービス活⽤資料集 | サービス別資料
https://aws.amazon.com/jp/aws-jp-introduction/aws-jp-webinar-service-cut/
❖ AWS IAM ベストプラクティスのご紹介 – AWSアカウントの不正利⽤を防ぐために | Amazon Web Services ブログ
https://aws.amazon.com/jp/blogs/news/aws-iam-best-practice/
❖ IAM のベストプラクティス - AWS Identity and Access Management
https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/best-practices.html
❖ AWS アカウントのルートユーザー 認証情報が必要な AWS タスク - AWS 全般のリファレンス
https://docs.aws.amazon.com/ja_jp/general/latest/gr/aws_tasks-that-require-root.html

28. ご清聴ありがとうございました