AWS勉強会第4回～IAMって何者、VPCとは～

# AWS勉強会第4回～IAMって何者、VPCとは～ # IAMとAWSアカウント ## AWS アカウント AWSクラウドと契約すると、以下が作成 - アカウントID - ルートユーザそれぞれのAWSアカウントは課金(請求)/セキュリティ/ネットワークに関して独立 この特徴を活かして * 本番環境と検証環境を各アカウントで分離でオペミス防止 * システムごとのコストを明確に分ける ## AWS Organizations 複数のAWSアカウントをポリシーベースで一元管理するサービス 統一的なポリシー設定、メンバーアカウントの一括請求、予算/セキュリティ/コンプライアンスの階層的なグループ化が可能 OU(組織単位)で管理され、OUに対して異なるポリシーを割り当て可能 ![](https://i.imgur.com/IEcW8l5.png) ## AWS ユーザアカウント * AWS IAM … AWS Identity and Access Managementの略 * AWSリソースへ安全にアクセスするための認証/認可サービス ### AWSユーザアカウントの種別 | | ルートユーザー | IAM ユーザ | | -------- | -------- | -------- | | AWSサービス/リソースへの アクセス権限 | すべての 権限を持つ | IAM管理者により許可された 範囲の権限を持つ | | ログインID | AWSアカウント登録時の Eメールアドレス | IAM管理者により 作成されたユーザ名 | | 運用時の利用 | 日常の操作には 使用しないことを推奨 | 日常のAWS 管理作業に利用 | ### IAMユーザとグループ | | IAMユーザー | IAMグループ                   | | -------- | -------- | --------| | 目的 | AWS操作用のID | IAMユーザをまとめる | | 1つのＡＷＳアカウント 当たりの上限 | 5000 | 100 | | 設定可能な情報 | ユーザ名、パス、 所属グループ、パーミッション | グループ名、パス、 パーミッション | | 特徴 | ユーザが作成されたときは なにも権限を持たない |グループはほかのグループに 入れることはできない。 グループは認証情報は 持たない | ### IAMで使用可能な認証情報 | IAMユーザ認証対象 | IAMユーザ認証情報と認証メソッド | | --------------- | ---------------| | AWSマネジメント コンソール | ユーザID/パスワード MFA(多要素認証) | | API操作,REST, Query形式,AWS CLI操作 | アクセスID/ シークレットアクセスキー | | API操作,SOAPリクエスト | X.509証明書 | * セキュリティ上、IAMユーザのパスワードやアクセスキーID/シークレットアクセスキーの認証情報は定期的にローテーションすることが推奨 →認証情報の利用状況は、AWSマネジメントコンソールおよび認証情報レポートで確認可能 * プログラムコードに直接記入すると、プログラムを共有したときに漏洩するリスクがある。 ### パスワードポリシーパスワードポリシーを指定することで、IAMユーザーが簡単なパスワードを設定できなくなる。 #### IAMパスワードポリシー設定可能な内容 | パスワードポリシー設定項目 | 設定可能内容 | |:----------------------|:----------------------------| | パスワードの 文字に対する項目 | 最小文字数、大文字の要求、 小文字の要求、数字の要求、特殊文字の要求 | | パスワードの変更、 有効期限に関する項目 | ユーザー自身によるパスワード変更、 有効期限、再利用の制限、 有効期限切れになった場合の IAM管理者によるリセットの有無 | ## IAMポリシー　 #### IAMポリシーの分類 | IAMポリシーの分類                | 特徴 | |:---------------------|:----------------| | 管理ポリシー | 複数のIAMユーザ / グループ / ロールにアタッチできる。 それぞれ最大10までの管理ポリシーをアタッチ可能 | | -AWS管理ポリシー | AWSにより管理されているポリシー | | -カスタマー管理ポリシー | IAM管理者が作成するポリシー | | インラインポリシー | 個々のIAMユーザー/グループ/ロールに直接設定するポリシー。共有不可 | #### IAMポリシーに設定する権限アクセス権限はJSON形式で記載し、Effect / Action / Resource / Conditionを設定 ``` { "Effect":"Allow",#Effect:AllowまたはDeny "Action":[　　　 #Action:対象となるAWS操作(*指定可、s3:Delete*など) "s3:PutObject", "s3:GetObject", "s3:DeleteObject" ], "Resource":"arn:aws:s3:::*/*", #Resource:対象となるAWSリソース(EC2,S3など) "Condition":{　 #Condition:有効になる条件 "IpAddress":{"aws:SourceIp":"172.31.1.0/24"} } } ``` ARN(Amazon Resorce Name)で指定するリソースを記述. ARNとは、AWSリソースに対して一意に設定される名前 ![](https://i.imgur.com/1hBwwou.png) Resourceを「*」で指定した場合、対象のAWSサービスのすべてのリソースに対してEffectで指定した権限が有効になるため、書き込みを含む権限を与えるときには注意が必要。 #### 有効な権限の算出方法明示的 Deny #### IAMポリシーによるアクセス権限の評価例 | | パターン1 | パターン2 | パターン3 | パターン4 | |:-------|:-------|:-------|-------|:-------| | グループA:Allow | 設定なし | アタッチ | アタッチ | アタッチ | | グループB:Allow | 設定なし | 設定なし | アタッチ | 設定なし | | ユーザインライン ポリシー:Deny | 設定なし | 設定なし | 設定なし | 設定あり | | 評価結果 | Deny | Allow | Deny | Deny | | 備考 | なにもポリシーが 設定されていない。 | グループAで Allowが設定 されている。| グループBで Denyが 設定されている。 | ユーザーのインライン ポリシーでDenyが 設定されている。 | #### リソースベースのポリシー AWSリソースに設定するポリシー #### リソースベースのポリシーをS3バケットに指定した例 ``` { "Effect":"Allow", "Principal":"*", #Principal:対象となるAWSアカウント、ユーザー "Action":[　　　 #Action:対象となるAWS操作 "s3:PutObject", "s3:GetObject" ], "Resource":"arn:aws:s3:::Mybucket/*", #Resource:対象となるAWSリソース "Condition":{　 #Condition:有効となる条件 "IpAddress":{"aws:SourceIp":"172.31.1.0/24"} } } ``` この例では、IPアドレス172.31.1.0/24からの匿名によるS3バケット[Mybucket/]へのPutObject,GetObjectを許可する。 ### IAMロール IAMロールを利用すると、AWSサービスから別のAWSサービスへのアクセスを許可することも可能になる。 ex. Lambda関数からS3バケットにオブジェクトをコピーしたい場合、Lambdaの特定の関数に対してS3バケットへの書き込み権限を持つIAMロールにアタッチすることで実現可能 EC2にIAMロールを使用すると、アクセスキーIDとシークレットアクセスキーの権限が不要となるため、キーの漏洩リスクがなくなる。 ### 一時的セキュリティ認証情報 (Security Token Service (以下,STS)) IAMロールを利用する場合、STSによって一時的認証情報として、セキュリティトークン、アクセスキーID、シークレットアクセスキーが生成される。 STSの一時的セキュリティ認証情報は短時間のみ利用可能なため、外部に漏れても再利用できない。 ### Switch Roleを使用した異なるアカウントの管理自社で管理するAWSアカウント数が増えてきた場合、IAMユーザーを一元管理するAWSアカウントを用意し、ほかのアカウントをSwitch Roleを使用して管理することで、各AWSアカウントでのIAMユーザーの管理工数を削減できる。 ![](https://i.imgur.com/zklppyj.png) ### IDフェデレーション(ID連携) | IDプロバイダ | AWSとの連携方法 | | ---------- | -------------------- | | SAML2.0 | IAM SAML2.0 IDプロバイダーによるIDフェデレーションが可能。 Active Directoryは、ADFS(Active Directory Federation Service)を 使用することでSAML2.0に対応するため、このIDフェデレーションが可能 | | OpenID Connect | IAM OpenID Connect IDプロバイダーによる ウェブIDフェデレーションが可能。 例えば、FacebookやTwitterなどのOpenID Connectに 対応しているソーシャルＩＤを利用可能、これをウェブIDフェデレーションと呼ぶ | | LDAP | SAML2.0に未対応のＩＤプロバイダーを 使用する倍は、カスタムIDブローカーを開発することで IDフェデレーションを実装可能 | | AD(ADFSなし) | オンプレミスでActive Directoryを使用し、 ADFSを使用していない場合、AWS Directory Service AD Connectorを使用することで直接IDフェデレーションが可能。 AWS Directory Service AD Connectorがユーザ認証を Active Directoryにリダイレクトすることで認証を行う | | モバイル(ソーシャルID) | モバイルアプリケーションがS3やDynamoDBなどのAWSリソースに ソーシャルIDを使用してアクセスする場合には、 Amazon Cognitoを使用可能. Amazon Cognitoは、OpenID ConnectとSAML2.0に対応している。 ソーシャルIDがこれらに対応していない場合には、 ＩＤブローカーとして動作する。 #### SAML2.0によるIDフェデレーション ![](https://i.imgur.com/dfLB2p5.png) #### LDAPによるIDフェデレーション ![](https://i.imgur.com/3sHTCgT.png) # VPC VPCとは、Amazon Virtual Private Cloudの略 ## VPCの設定手順として、①VPC作成→②サブネット作成→③ルートテーブル/ゲートウェイ作成→④セキュリティ設定の順で行う。 ※ ネットワーク要件により、エンドポイントやVPCピアリングなどの作成が必要 ### ① VPC作成リージョンをまたいでＶＰＣを作成することは不可 VPCのＩＰアドレスレンジＣＩＤＲ(Classless Inter-Domain Routing) ブロックの16～28の範囲で設定可能 CIDR ブロック (10.20.5.0/24)の例 * 3オクテッド目(00001010 00100100 00000101)までがネットワークアドレス * 4オクテッド目(0000000 )がホストアドレス部 ### ② サブネット作成 AZ(アベイラビリティゾーン)毎に1つ以上のサブネットを追加する。 ※ １つのサブネットは複数のＡＺにまたがって設定不可 ### VPCのCIDRブロックが16の場合のサブネット数とIPアドレス数 | サブネットマスク | サブネット数 | サブネット1当たりのIPアドレス数 | | -------- | -------- | -------- | | 18 | 4 (=$2^{2}$) | 16379 (=$2^{14}-5$) | | 24 | 256 (=$2^{24-16}$) | 251 (=$2^{8}-5$) | | 28 | 4096 (=$2^{28-16}$) | 11 (=$2^{4}-5$) | ### 利用ができないホストアドレス | ホストアドレス           | 分類 | 用途 | | -------- | -------- | -------- | | .0 | 標準仕様 | ネットワークアドレス　| | .1 | AWS独自仕様 | VPCルータ | | .2 | AWS独自仕様 | DNSサービス | | .3 | AWS独自仕様 | AWSで予約 | | .($2^{ホストアドレス部のビット数}-1$) | 標準仕様 | ブロードキャストアドレス※ | ※ ホストアドレス部のビット数は,たとえばCIDRブロックが/28の場合,4(=32-28)であるため、ブロードキャストアドレスは15(=$2^4-1$)となる。 #### サブネットの種類 * プライベートサブネット＝インターネットへのルートが無 * パブリックサブネット=インターネットへのルートが有 ### ③ ルートテーブル / ゲートウェイ作成各サブネットに関連づけられるルートテーブルを作成サブネットを出るアウトバウンドトラフィックは、ルートテーブルにより送信先を指定 * インターネットゲートウェイ(Internet Gateway:IGW) インターネットと通信するために必要なゲートウェイ * 仮想プライベートゲートウェイ(Virtual Private Gateway:VGW) ほかの拠点とインターネットＶＰＮを接続する際にＶＰＣ側で作成するゲートウェイ * カスタマーゲートウェイ(Customer Gateway:CGW) VPCとインターネットＶＰＮを接続する際にクライアント側の拠点で作成するゲートウェイ * NATゲートウェイ(NAT Gateway) プライベートサブネットからインターネットにアクセスする際にプライベートIPアドレスからパブリックIPアドレスにアドレス変換を行う場合に利用するゲートウェイ。また、インターネットからはプライベートサブネットにアクセスしないようすることも可能 ### VPC, AZ, サブネットの関係図 ![](https://i.imgur.com/kJqEEy6.png) サブネットの種類は、サブネットのIGWが設定されているかどうかで決定。 * 送信先を0.0.0.0/0とし、特定のサブネットのルートテーブルのターゲットに作成したＩＧＷを指定することで、パブリックサブネットとなる。 * IGWを指定しないサブネットはプライベートサブネットとなる。 ### ④ セキュリティ設定 ( セキュリティグループ / ネットワークACL の設定) AWSでは、ファイアウォールを2つの機能を用いて設定 * セキュリティグループ インスタンスタンス単位で許可する通信のみをインバウンドとアウトバウンドのトラフィックについて設定。ステートフルであるため、戻りのトラフックの設定は不要。すべての設定が適用される。 * ネットワークACL(アクセスコントロールリスト) サブネット単位で許可/拒否する通信をインバウンドとアウトバウンドのトラフィックについて設定。ステートレスであるため、戻りのトラフィック設定も必要。番号の順番通りにルールが適用される。 | 項目 | セキュリティグループ | ネットワークACL | | -------- | -------- | -------- | | 設定単位 | インスタンス | サブネット | | 許可/拒否単位 | 許可のみ | 許可もしくは拒否 | | ステートレス/ステートフル | ステートフル | ステートレス | | ルール適用 | すべて | 番号の順番どおり | ファイアウォールはセキュリティグループの設定のみでも十分可能だが、たとえば特定のトラフィックをサブネット全体で拒否する場合などサブネット単位で一律にトラフィックを制御する際にはネットワークACLを利用するのが有効 ## エンドポイントの作成 VPC内のEC2インスタンスからS3にインターネットを経由せずにＶＰＣ内から直接アクセスするには,VPCエンドポイントを経由することが必要。エンドポイントを作成する方法 * ゲートウェイ型 VPC内部から直接サービスと通信が実行 * インターフェイス型 サブネットにエンドポイント用のＩＰアドレスが生成され、そのIPアドレスに向けた通信がパブリックIPアドレスを持つサービスに内部的に転送される。 ## ピア接続 2つのＶＰＣ間を接続する方法。異なるＡＷＳアカウントのVPC間でも接続でき、リージョンをまたいだ設定も可能。 これによって通信できるのは直接ピア接続を行っているＶＰＣのみ。2ホップ以上の通信(ピア先VPCが接続しているほかのＶＰＣへの通信)は不可