https://jawsug-bgnr.connpass.com/event/210736/

1. IAMとS3で
初⼼者が陥りがちなヤツ
ksk_mats

2. ⾃⼰紹介
• 名前︓ksk_mats
• ツイッター︓@KskMats(アカウントさっき作りましたww)
• 会社︓
アイレット株式会社
クラウドインテグレーション事業部(CI事業部)
• 趣味︓
サウナ(整うの気持ちよすぎるぅ)
軟式テニス(同志がいたらお声掛けください)
ゴルフ(やったことないけど、そのうち趣味になる)

3. • エンジニア歴
• オンプレインフラを5年ちょい
• RHELとかVMwareがメインだった
• 現職(2021/1~)からAWSを触り始める
• AWS
• 実務歴︓3ヶ⽉ちょい(AWS全然わからん)
• 最近はDatadogとかNewRelicも触ったり
• 保有資格︓
SAA [2020/12]
SOA [2021/1]
AXS [2021/2]
DVA [2021/3]
CLF [2021/3]
SCS [2021/3]
軽い燃え尽き症候群(早い)

4. 今⽇話す内容
[S3で初心者が陥りガチなやつ①] ゾンビバケット誕生
[S3で初心者が陥りガチなやつ②] セキュリティわからん
[IAMで初心者が陥りガチなやつ] 容赦なきAccess Denied

5. そんな⾯⽩いやらかしはしてないです
他の登壇者の⽅々のような⾯⽩そうなやらかしはしていません.........
でもLTしたかったんです︕許してください︕

6. [S3で初⼼者が陥りガチなやつ①] ゾンビバケット誕⽣
[ゾンビバケットとは]
誤ったバケットポリシーの適⽤により操作も削除もすることができなくなった悲しき産物じゃぞ
バケットポリシーをきちんと理解していないアホなAWS初⼼者が⽣み出しがちじゃ
治すにはRoot権限を⼿に⼊れるしかないぞぃ
Root権限ないから
無理ぽwww
助けて..
元に戻して..

7. 何が起きた︖
• PutObjectとListBucketのみを許可したバケットを作成しようとした
• 以下ポリシーをバケットに適⽤した
なんか臭うわね
このポリシー

8. 結果
バケットに対して何もできなくなったwww削除も無理www

9. 何が原因だった︖
• Denyの内容(⾚枠)がAllowの内容より(⻘枠)よりも優先されることを理
解していなかった
• 雰囲気だけでバケットポリシーを設定していた

10. どうやって解決した︖
• Root権限をもらって、バケットポリシーを修正した
(弊社、Root権限をもらうには申請が必要なのです)
• 修正後のポリシーは以下の通り
出番やな
Root神

11. 初⼼者は覚えておきましょう
• 明⽰的なDenyは、明⽰的なAllowより優先されて評価される
• ゾンビバケットを作成して、Root権限がなかったら正直に謝ろう
ゾンビバケット作っちゃいましたw
Root権限ください！

12. [S3で初⼼者が陥りガチなやつ②] セキュリティわからん
ふむふむS3のセキュリティは
ACL、バケットポリシー、IAM
でやるのね
もうよくわからん！
おいらのバケットは
アクセス全許可でいいや！
今⽇はもうあがりますzzz..
ん！？
パブリックブロックアクセス！？
てかバケットポリシーとIAMが併⽤
される場合はどうなるの！？！？
ヘルプミー!!!

13. 何が起きた︖
• S3のセキュリティ周り⾊々ありすぎてわけわからなくなった
• ACLやバケットポリシーなどそれぞれのセキュリティ機能に焦点を当てている
良いドキュメントはたくさんあるが、それら全てが体系的にまとまっているド
キュメントがあんまりない……
バケットポリシー
ACL
IAM
パブリック
ブロックアクセス 複数併⽤した場合

14. どうやって解決した︖
S3のセキュリティを理解するためのロードマップを作り、⼀つずつ着実に理解
していった(というより今理解している最中)
◆実際に考えたロードマップ
1. 全体像を掴む(関連する機能に何があるか把握する)
2. 各機能について理解する
3. 複数の機能が併⽤されたケースについて理解する
4. ポリシー(IAMポリシー/バケットポリシー)の書き⽅を深く理解する

15. 作ったロードマップをQittaにあげてみた
https://qiita.com/K5K/items/ef6a02aee760b128a25b

18. [IAMで初⼼者が陥りガチなやつ] 容赦なきAccess Denied
EC2にS3へのフルアクセス権限を
付与したIAMロールを適⽤して、
AWS CLIでS3バケットの中⾝を⾒るぜ
Access Denied
Access Denied
Access Denied
Access Denied
# aws s3 ls s3://ossanbucket
何回やってもあかんわ

19. 何が起きた︖
• EC2にてAWS CLIを実⾏して、S3バケットの中⾝を確認しようとした
• 事前にEC2にはS3バケットのフルアクセス権限を有したIAMロールを付与し
ていた
• EC2から”aws s3 ls <bucket名>”を実⾏したら、access denied
で中⾝の確認ができない
• IAMロールの内容に誤りはなさそう

20. 何が原因だった︖
• EC2に別途aws configureによりクレデンシャル情報が渡されていた(そし
てそれを失念していた)
• そのクレデンシャル(IAMユーザ)にはS3へのアクセス権限が付与されていな
かった
• aws configureにより付与されたクレデンシャル情報がIAMロールよりも優
先されていたため、IAMロールのクレデンシャルがEC2に渡っていなかった
お先に〜
aws configureで渡されたクレデンシャル IAMロールで渡されたクレデンシャル

21. どうやって解決した︖
• EC2にて適⽤されている(有効になっている)クレデンシャルを確認して、
IAMロールではない別のクレデンシャルが適⽤されていることがわかった
• 調べてみたらaws conifugreによって付与したクレデンシャルが適⽤され
ていることがわかった
• クレデンシャルファイル(.aws/config)を削除して、aws configureに
よって付与されたクレデンシャルを無効化にした

22. 適⽤されているクレデンシャル情報確かめるコマンド
aws configure list
IAMロールのクレデンシャルが適⽤されている場合
aws configureで付与したクレデンシャルが適⽤されている場合

23. 適⽤されているクレデンシャル情報確かめるコマンド
aws sts get-caller-identity
IAMロールのクレデンシャルが適⽤されている場合
aws configureで付与したクレデンシャルが適⽤されている場合

24. 初⼼者は覚えておきましょう
AWS CLI実⾏時に適⽤されるクレデンシャルには優先順位がある
1. AWS CLI実⾏時のコマンドラインオプション
2. 環境変数
3. CLI 認証情報ファイル(.aws/credentials)
4. CLI 設定ファイル(.aws/config)
5. コンテナ認証情報
6. インスタンスプロファイル認証情報
https://docs.aws.amazon.com/cli/latest/userguide/cli-
configure-quickstart.html#cli-configure-quickstart-
precedence

25. まとめ
S3
• 明⽰的なDenyは、明⽰的なAllowより優先されて評価される
IAM
• AWS CLI実⾏時に適⽤されるクレデンシャルには優先順位がある

26. それでは良いAWSライフを︕ ノシ