IAM 基礎・権限設計 ハンズオン

マネジメントコンソール上部の検索バーで 「IAM」 を検索して開きます。左メニューの 「ユーザーグループ」→「グループを作成」 をクリックします。

「許可ポリシーをアタッチ」では、まず AWS 管理ポリシー AmazonS3ReadOnlyAccess を検索してチェックを入れます（後でカスタムポリシーに置き換えます）。「ユーザーグループを作成」をクリックします。

左メニュー 「ユーザー」→「ユーザーの作成」 をクリックします。

「次へ」をクリックします。

「許可を設定」画面で 「ユーザーをグループに追加」 を選び、handson-developers にチェックを入れます。「次へ」→「ユーザーの作成」をクリックします。

表示される サインイン URL・ユーザー名・パスワード を控えておきます（CSV ダウンロード可）。

作成したユーザー handson-developer を開き、「セキュリティ認証情報」タブ→「MFA デバイスの割り当て」 をクリックします。

表示される QR コードを認証アプリで読み取り、連続する 2 つのコードを入力して「MFA を追加」をクリックします。

IAM 左メニュー 「ポリシー」→「ポリシーの作成」 をクリックします。「JSON」タブに切り替えて以下を貼り付けます（handson-bucket-xxxx は実在のバケット名に置き換え）。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ListSpecificBucket",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
      ],
      "Resource": "arn:aws:s3:::handson-bucket-xxxx"
    },
    {
      "Sid": "ReadObjects",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::handson-bucket-xxxx/*"
    }
  ]
}

「ポリシーの作成」をクリックします。

「ユーザーグループ」→ handson-developers →「許可」タブを開きます。先ほどの AmazonS3ReadOnlyAccess を 「削除」 し、「許可を追加」→「ポリシーをアタッチ」 から S3ReadOnlyHandson をアタッチします。

IAM 左メニュー 「ロール」→「ロールを作成」 をクリックします。「信頼されたエンティティタイプ」で 「カスタム信頼ポリシー」 を選択します。

以下の JSON を貼り付けます（<AccountId> は自分のアカウント ID に置き換え）。これにより、同一アカウントの IAM ユーザーがこのロールを引き受けられるようになります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AccountId>:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "Bool": { "aws:MultiFactorAuthPresent": "true" }
      }
    }
  ]
}

「許可を追加」画面で、AWS 管理ポリシー AmazonS3FullAccess を検索してチェックを入れます（このロールを引き受けると S3 フルアクセスになる）。「次へ」をクリックします。

「ロールを作成」をクリックします。作成後、ロール詳細画面の ARN をメモしておきます。

ユーザー自身にロールを引き受ける権限が必要です。「ポリシー」→「ポリシーの作成」 で以下を作成し、グループ handson-developers にアタッチします。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::<AccountId>:role/handson-s3-admin-role"
    }
  ]
}

ポリシー名は AllowAssumeS3AdminRole とします。

handson-developer でログインした状態で、画面右上のアカウントメニューから 「ロールの切り替え」 をクリックします。

「ロールの切り替え」をクリックすると、画面右上の表示が切り替わり、S3 への書き込みなどフルアクセス操作が可能になります。

CloudShell またはローカルの AWS CLI で以下を実行します。

返ってきた AccessKeyId / SecretAccessKey / SessionToken を環境変数に設定すると、そのセッションだけロールの権限で操作できます。

ブラウザで https://policysim.aws.amazon.com/ を開きます（IAM コンソールのユーザー詳細「アクセスのテスト」からも遷移可）。左ペインで検証対象の ユーザー / グループ / ロール を選択します。

サービスに 「S3」、アクションに GetObject / PutObject / ListBucket を選択します。「Run Simulation」をクリックします。

「Resource」に対象バケットの ARN を入れると、Resource 制限が効いているかまで検証できます。別バケットの ARN を入れると denied になることを確認します。