Downloaded 10 times
![me.json
{
"name“ : "Nobuhiro Nakayama",
"favorite aws services“ : [
"Storage Gateway",
"Directory Service",
"IAM"
],
"certifications“ : [
"AWS Certified Solutions Architect-Associate",
"AWS Certified SysOps Administrator-Associate",
"Microsoft Certified Solutions Expert : Server Infrastructure",
"Microsoft Certified Solutions Expert : SharePoint"
]
}
2015/2/22 2](https://image.slidesharecdn.com/jawsug-cli12managedpolicy-150214081447-conversion-gate01/85/JAWSUG-CLI-12-Managed-Policy-2-320.jpg)
![適用先の一覧を表示
コマンド
>> aws iam list-entities-for-policy
--policy-arn "arn:aws:iam::************:policy/TestPolicy01"
出力
{
"PolicyGroups": [],
"PolicyUsers": [
{
"UserName": "TestUser01"
}
],
"PolicyRoles": [],
"IsTruncated": false
}
2015/2/22 44](https://image.slidesharecdn.com/jawsug-cli12managedpolicy-150214081447-conversion-gate01/85/JAWSUG-CLI-12-Managed-Policy-44-320.jpg)
![[AWSマイスターシリーズ]Identity and Access Management (IAM)](https://cdn.slidesharecdn.com/ss_thumbnails/20130716aws-meister-regenerate-iam-public-130728224341-phpapp01-thumbnail.jpg?width=640&height=640&fit=bounds)
![[Modern Cloud Day Tokyo 2019] Oracle Cloud Infrastructure 基本サービス入門(2) - ユーザー管...](https://cdn.slidesharecdn.com/ss_thumbnails/mcd19d-2-190822001051-thumbnail.jpg?width=640&height=640&fit=bounds)
![[Cloud OnAir] Talks by DevRel Vol.2 セキュリティ 2020年8月6日 放送](https://cdn.slidesharecdn.com/ss_thumbnails/aaaa-200806090441-thumbnail.jpg?width=640&height=640&fit=bounds)
JAWSUG CLI専門支部 #12 Managed Policyがやってきた
- 1. Managed Policy がやってきた JAWS-UGCLI #12 2015/02/16 Nobuhiro Nakayama
- 2. me.json { "name“ : "NobuhiroNakayama", "favorite aws services“ : [ "Storage Gateway", "Directory Service", "IAM" ], "certifications“ : [ "AWS Certified Solutions Architect-Associate", "AWS Certified SysOps Administrator-Associate", "Microsoft Certified Solutions Expert : Server Infrastructure", "Microsoft Certified Solutions Expert : SharePoint" ] } 2015/2/22 2
- 3. 目次 • これまでの IAMの問題点 • Managed Policy とは • 使い方（Management Console） • 使い方（CLI） • まとめ 2015/2/22 3
- 4.
- 5. （確認）これまでの IAM の問題点 •Group を現実の組織に則った構成にするとつらい • 各 Group に同じ IAM Policy をコピペ・・・ • 例：CloudTrailで取得した監査ログが保存されたバケットに対する操作を禁止、など • Policy の更新もコピペ・・・ • THE 刺身タンポポ • IAM Policy と Group が 1 対 1 になるように設計すると、Group への User の Attach が複雑になる・・・ • Role に至ってはグルーピングするような機能が無い・・・ • Pathを駆使すれば何とかなると思いますが、ガチ勢じゃないとつらい 2015/2/22 5
- 6. Managed Policyとは • IAMPolicy を独立して定義できるようになりました • これまでは User / Group / Role に従属するものとして定義する必要があった • User / Group / Role にアタッチできる • バージョン管理ができる（！） • ロールバックができる（！！！） • ただし、5 世代まで • User / Group / Role に従属していたこれまでの Policy は Inline Policy として残る • （2015/2/22 追記） User / Group / Role にAttachできるManaged Policyは２つまで（？！） • You can attach up to two managed policies to each principal entity. • http://docs.aws.amazon.com/IAM/latest/UserGuide/managing-managed-policies-console.html#attach- managed-policy-console 2015/2/22 6
- 7.
- 8. User / Group/ Roleにアタッチした結果 2015/2/22 8
- 9.
- 10.
- 11.
- 12.
- 13.
- 14.
- 15.
- 16.
- 17.
- 18.
- 19.
- 20.
- 21.
- 22.
- 23.
- 24.
- 25.
- 26.
- 27.
- 28.
- 29.
- 30.
- 31.
- 32.
- 33.
- 34. 新しく追加された（と思われる）コマンド • attach-group-policy • attach-role-policy •attach-user-policy • create-policy • create-policy-version • delete-policy • delete-policy-version • detach-group-policy • detach-role-policy • detach-user-policy • get-policy • get-policy-version • list-attached-group-policies • list-attached-role-policies • list-attached-user-policies • list-entities-for-policy • list-policies • list-policy-versions • set-default-policy-version 2015/2/22 34
- 35. set-default-policy-version • Description • Setsthe specified version of the specified policy as the policy's default (operative) version. • This action affects all users, groups, and roles that the policy is attached to. To list the users, groups, and roles that the policy is attached to, use the list-entities-for-policy API. • ロールバックも簡単！ • もちろん影響範囲を事前に確認しましょう。（list-entities-for-policy） 2015/2/22 35
- 36. list-attached-*****-policies • Managed Policyしかリスト表示してくれません。。。 • Inline Policyは以下のコマンドで確認する必要があります。 • list-group-policies • list-role-policies • list-user-policies • Managed Policy と Inline Policy を併用したら不幸になりそう。。。 2015/2/22 36
- 37.
- 38. ポリシーの作成 コマンド >> aws iamcreate-policy --policy-name "TestPolicy01“ --policy-document file://TestPolicy01.json 出力 { "Policy": { "PolicyName": "TestPolicy01", "CreateDate": "2015-02-14T12:44:45.973Z", "AttachmentCount": 0, "IsAttachable": true, "PolicyId": “*************************", "DefaultVersionId": "v1", "Path": "/", "Arn": "arn:aws:iam::************:policy/TestPolicy01", "UpdateDate": "2015-02-14T12:44:45.973Z" } } 2015/2/22 38 以降、PolicyはARNで指定します。
- 39. ポリシーのアタッチ コマンド >> aws iamattach-user-policy --user-name "TestUser01“ --policy-arn "arn:aws:iam::************:policy/TestPolicy01" 出力 （なし） 2015/2/22 39
- 40. ポリシードキュメントの表示 コマンド >> aws iamget-policy-version --policy-arn "arn:aws:iam::************:policy/TestPolicy01“ --version-id "v1" 出力 { "PolicyVersion": { "CreateDate": "2015-02-14T12:44:45Z", "VersionId": "v1", "Document": { （省略） }, "IsDefaultVersion": true } } 2015/2/22 40 バージョンの指定は文字列です。 適用されているPolicyかどうかが確認できます。
- 41. ポリシードキュメントの更新 コマンド >> aws iamcreate-policy-version --policy-arn "arn:aws:iam::************:policy/TestPolicy01“ --policy-document file://TestPolicy01.json 出力 { "PolicyVersion": { "CreateDate": "2015-02-14T13:05:34.272Z", "VersionId": "v2", "IsDefaultVersion": false } } 2015/2/22 41 デフォルトではPolicyは適用されません。 （前のバージョンが有効。Management Consoleとは違う。。。）
- 42. ポリシードキュメントの更新および即時適用 コマンド >> aws iamcreate-policy-version --policy-arn "arn:aws:iam::************:policy/TestPolicy01“ --policy-document file://TestPolicy01.json --set-as-default 出力 { "PolicyVersion": { "CreateDate": "2015-02-14T13:07:24.243Z", "VersionId": "v3", "IsDefaultVersion": true } } 2015/2/22 42 “set-as-default”オプションを付けると、即時適用。
- 43. ポリシーのロールバック コマンド >> aws iamset-default-policy-version --policy-arn "arn:aws:iam::************:policy/TestPolicy01“ --version-id "v2" 出力 （なし） 2015/2/22 43
- 44. 適用先の一覧を表示 コマンド >> aws iamlist-entities-for-policy --policy-arn "arn:aws:iam::************:policy/TestPolicy01" 出力 { "PolicyGroups": [], "PolicyUsers": [ { "UserName": "TestUser01" } ], "PolicyRoles": [], "IsTruncated": false } 2015/2/22 44
- 45. まとめ • 設計しやすくなった • 現実の組織に則ったGroup 設計にしやすい • Policy の作成が楽になりそう（コピペをしなくてよい） • Policy の更新もしやすい（Attach先へ一括反映） • バージョン管理もできる • 5世代を超えるときは、古いPolicyを予め削除する必要がある。。。 • 世代数無制限ﾏﾀﾞｧ-? （・∀・ ）っ/凵⌒☆ﾁﾝﾁﾝ • Policy Document の適用には気をつけましょう • 適用範囲やタイミングを確認せず、間違ったポリシーを即時適用なんてことも（（（ ；゜ Д ゜））） • set-default-policy-versionコマンドは、特定の時間帯だけ権限を付与するような運用で使えそう （Data PipelineでCLIコマンドを実行、とか） • 移行は・・・大変そうw 2015/2/22 45
- 46. Appendix • AWS CLI •http://docs.aws.amazon.com/cli/latest/index.html • An Easier Way to Manage Your Policies（AWS Security Blog） • http://blogs.aws.amazon.com/security/post/TxWY3VQC1NG45/An-Easier-Way-to-Manage-Your-Policies • New – Managed Policies for AWS Identity & Access Management（Official Blog） • https://aws.amazon.com/blogs/aws/new-managed-policies-for-aws-identity-access-management/ • Release: AWS Identity and Access Management on 2015-02-11 • https://aws.amazon.com/releasenotes/1597183568035418 2015/2/22 46
- 47. ┼ヽ -|r‐､. ﾚ| ｄ⌒) ./| _ﾉ __ﾉ --------------- 制作・著作 UCD 2015/2/22 47