こんにちは！ スカイアーチHRソリューションズのRyojiです。 いつも、業務でIAMのスイッチロールを使用して作業しているのですが、その設定を修正する機会があり、少々手間取ってしまいました。 そこで、改めてスイッチロールとは？というところから調べなおしてみたので、整理して記事としてまとめてみたいと思います。 スイッチロールとは スイッチロールとは、アクセス権限の切り替えを行うことができる、AWS IAMが提供する機能の一つです。 AWSマネジメントコンソールでのアクセス権限があるユーザーは、スイッチロールを使用することで、異なるAWSアカウント、または異なるIAMユーザーにスイッチすることができます。 これにより、複数のAWSアカウントやIAMユーザーを切り替えることなく、異なるアカウントやユーザーの操作を行うことができるようになります。 スイッチロールの作成 スイッチロールを使用するに

はじめに IAMのロール作成時に聞かれる「信頼されたエンティティ」って何となったので調べて分かった事を備忘録としてを残す 信頼されたエンティティとは IAMで作成したロールはユーザだけでなくサービス（s3とかLambdaとか）にも付与することができるが、その付与可能なサービスを設定しているのが「信頼されたエンティティ」の部分 この「信頼されたエンティティ」にないサービスにはロールをアタッチできない 具体的に見ていく ロール作成 ロールをIAMで作成すると以下のような画面が出てくるが、ここで選択したサービスを「信頼されたエンティティ（＝今作成中のロールをアタッチできる対象として許可する）」とみなすようになる 作成したロールの信頼関係（どのサービスならこのロールをアタッチできるか？） 「信頼されたエンティティ」の所にlambda.amazonaws.comと書かれている通り、Lambdaであれ

福岡オフィスの梶原です。 先日、AWS CLIでSwitch Role してさらに Switch Role してみた。を公開してエゴサしてると 「EC2に割り当てたRoleの場合はどうすんの？」ってつぶやきを発見しました。 あーそういう事か、確かにEC2にAPIキーを置くとかありえんよねー。 ということで、調べました！ まぁ、最悪できんでも、EC2のロールで、一時クレデンシャル取って、それをaws sts assume-roleでRole取得の際に指定して、うわーーーそんなん、めんどい、やっぱ終了 と、思っていたところ つ AWS CLIでインスタンスプロファイルからのAssumeRoleが簡単になりました | DevelopersIO ということで source_profile = role-a ってしていたところを credential_source = Ec2InstanceMeta

【やんわり】（副詞） ━ものやわらかであるさま。おだやかなさま。 （デジタル大辞泉より） コンバンハ、千葉（幸）です。 皆さんは IAM の評価論理って難しいと思っていませんか？ 実は…… … …… ……… その通り、難しいんです。 やれアインディティベースポリシーとリソースベースポリシーだの、アカウントをまたぐまたがないだの、ガードレールがどうだの、暗黙的だの明示的だの、覚えることがたくさんあって難しいです。 詳細な内容は必要に迫られたときに考えるとして、「だいたいこういうことでしょ」とやんわり理解する状態を本セッションでは目指していきます。 セッションの雰囲気 これが…… こうなる感じ雰囲気のセッションです。 セッションで学べること 章ごとにサマリを描きます。 1. IAM JSON ポリシー IAM のポリシータイプは 6 つあること IAM JSON ポリシーの構成要素として Ef

Note 本記事は、2018 年公開の以下の Blog の内容が、現在の機能/技術にマッチしない内容になってきたことを踏まえ、2023 年現在の機能/技術を元に改めて考え方をおまとめしたものとなります。以前に公開した Azure AD が発行するトークンの有効期間について (2018 年公開) の記事は参考のためそのまま残し、新しく本記事を執筆しました。 こんにちは、Azure & Identity サポートの金森です。 Azure AD (AAD) は、Microsoft 365 をはじめ様々なクラウド サービスの認証基盤 (Identity Provider / IdP) として利用されています。その重要な機能としてユーザーの認証が完了したら、アプリケーションに対してトークンを発行するというものがあります。あるサービス (Teams や Exchange Online、他に Azure

Note 本記事は Technet Blog の更新停止に伴い https://blogs.technet.microsoft.com/jpazureid/2018/09/13/azure-ad-join-vs-azure-ad-device-registration/ の内容を移行したものです。 元の記事の最新の更新情報については、本内容をご参照ください。 こんにちは、Azure & Identity サポート チームの倉本です。 今回は、 Azure AD 登録 (registered) と Azure AD 参加 (Azure AD joined) の違いについて紹介します。 Azure AD へのデバイス登録の種類は複数あり、 その違いについてお問い合わせを多くお寄せいただいております。 それぞれについてどういった場面で利用されることが想定されているかを説明していきます。 Azur

ざっくり要件 不要なAWSリソースを見たくない・見せたくないIAMユーザを作成したい 特定のS3のapp/以下だけ（重要） アクションとしては、ディレクトリ作成、アップロード、ダウンロード、閲覧 他のS3バケット名も見せない IP制限等は別途 MFA付き等は今回は除外 バケット名は参考から名前を流用して AWSDOC-EXAMPLE-BUCKET S3バケットは東京リージョン 個人的なポイント バケットポリシー側をいじる必要はなかった S3バケットのアクセス許可も パブリックアクセスをすべてブロック のままでよい 特定のURLでアクセスする必要がある https://s3.console.aws.amazon.com/s3/buckets/AWSDOC-EXAMPLE-BUCKET?region=ap-northeast-1&prefix=app/ S3のバケット一覧からは遷移できない(権

こんにちは、Azure & Identity サポート チームの菊池です。 Azure AD 上のユーザーをオンプレミス Active Drectory ユーザーと紐づける方法として、ハードマッチとソフトマッチと呼ばれる方法があります。 今回はソフトマッチについてご紹介します。 ソフトマッチとは ?ソフトマッチとは、Azure AD 上のユーザーとオンプレミス AD 上のユーザーを proxyAddresses または UserPrincipalName (UPN) で紐づけて、同期させる手法のことをいいます。基本的にはユーザーを紐づける必要がある場合には、ソフトマッチを利用することを推奨します。 ソフトマッチができない場合にはハードマッチと呼ばれる方法で直接的に同期時にオブジェクトの一意性を確保するソースアンカーと呼ばれる ID 情報 (ImmutableID) を紐づけます。ハードマッ

こんにちは、CX事業本部の夏目です。 先日、AWS初心者にIAM Policy/User/Roleについてざっくり説明する機会があったので、説明した内容を共有します。 IAM Policy/User/Role 結論だけ簡潔に表現すると、次のようになる。 IAM Policyは できること/できないこと を定義し、UserやRoleに紐づけて使う IAM Userは、Policyを紐付けて、ユーザーができることを定義する IAM Roleは、Policyを紐付けて、誰か/AWSのサービス ができることを定義する Policyは できること/できないこと を定義し、UserやRoleに紐づけて使う IAM PolicyはAWSで何ができるかを定義するものです。 これ単体では何もできず、IAM UserやRoleに紐づけて使用します。 これはS3ReadOnlyAccessという、AWSが提供し

こんにちは。 社内オンプレミスにあるサーバー群をクラウドへ移行する顧客も最近になって多くなってきており、その際にADからAzureADへとオブジェクト同期を行っているAADC(Azure AD Connect)サーバーの移行もあわせて必要とするケースが増えてきた印象です。 （いつかはこのハイブリッド構成もなくなるのでしょうが、それまでは移行が必要かと。） 久しぶりにAADC移行を行ったこともあって少し忘れていたので備忘録もかねてAADCサーバーの移行について今更ながらですが、まとめてみました。 本記事が参考にあれば幸いです。 AADCの移行パターン すでにADからAADCを介してAzureADへと同期を行っている環境において、AADCの同期パターンはいくつかあると思っております。 同期元ADが変わらない場合 ①のように同期元ADが何も変わらず、AADCだけを移行する場合については特に同期オ

はじめに こんにちは！kusuwadaです！ Azureを触りはじめて、約1ヶ月が経過しました。 復職して2ヶ月。まさかAzureを触るようになるとは、復職前（いや、正確には1ヶ月前まで）は夢にも思っていませんでした。 AWSマン + ちょびっとGCPマンだったのですが、また新しいクラウドベンダかー！と、AWS vs Azure表なんかを見たりAzureドキュメントを読んだりしながら、お勉強中です。 今回は、Azure上での権限管理について、こんな感じで設定・運用したらどうじゃろうか、というのをまとめてみました。 はじめに なぜ権限管理が必要なのか Azureの権限管理(基本形) おわりに 参考リンク Azureは、AWSとアカウント・ユーザー・ロール的な考え方が結構違います。AWSはアカウントを開設するごとに、これを使用するユーザーをIAMで作成して権限を付与するのに対し、AzureはA

はじめに AWS Organizationsとは AlphaDriveのOrganization管理例 AWS Organizationsと組み合わせて導入したサービス AWS Organizations × AWS SSOで楽かつセキュアにアカウント管理 Security Hubでのセキュリティ設定状況を一元管理 AWS Resource Access Managerで組織内にリソース共有 SCP（Service Control Policy）で不要なアクションを制限 まとめ カジュアル面談に関して はじめに AlphaDrive/NewsPicksのアカザワです。 AlphaDriveではCTOとしてエンジニアリング組織の立ち上げ、拡大や新規事業の創出を支援するSaaS Incubation Suite の開発をしています。また、NewsPicksでは法人向けサービスの NewsPic

こんにちは、Azure & Identity サポート チームの坂井です。 今回は Azure AD B2B (Business-To-Business) コラボレーション機能 (以下、Azure AD B2B) について紹介します。 /ja-jp/azure/active-directory/active-directory-b2b-what-is-azure-ad-b2b この機能については、上記のリンクでも紹介しています。 Azure AD B2B と聞くと、もしかしたら小難しく聞こえるかもしれませんが、要は、他 Azure AD のユーザーを追加 (招待) する機能のことです。 具体的には、Azure AD を利用する中で、次のような要望がでてくることがあります。 ・会社間 (Azure AD 間) でリソースを共有したい ・別の Azure AD に紐づいているリソースを使用した

はじめに 皆さん、こんにちは！ 今回は Azure の RBAC 機能による権限管理を行う際に考慮する点や、つまずきやすいポイントを具体的なシナリオと絡めてご説明していきます。 今回は以下のようなシナリオで進めていきます。とりあえず IaaS 利用のみを想定しています。 リソースグループを、ネットワーク / 仮想マシン で分割する ネットワーク用リソースグループの管理者は、ネットワーク以外のリソースを作成できないようにしたい 仮想マシン用リソースグループの管理者は、仮想マシン以外のリソースを作成できないようにしたい イメージとしては下図のように、システム単位や部門単位で仮想マシン周りのコンピューティングリソースを管理して、ネットワークリソースを共用するような構成を想定します。 まずは、各リソースが所属するリソースグループの作成、リソースグループに紐づけるユーザーの作成を行います。今回のシナ

組織に多くの Azure サブスクリプションがある場合は、これらのサブスクリプションのアクセス、ポリシー、およびコンプライアンスを効率的に管理する方法が必要になることがあります。 管理グループのガバナンス範囲は、サブスクリプションを上回ります。 サブスクリプションを管理グループにまとめると、適用するガバナンス条件は関連付けられているすべてのサブスクリプションへの継承によりカスケード表示されます。 管理グループを使うと、サブスクリプションの種類に関係なく、エンタープライズ レベルの管理を大規模に行うことができます。 ただし、単一の管理グループ内のすべてのサブスクリプションは、同じ Microsoft Entra テナントを信頼する必要があります。 たとえば、仮想マシン (VM) の作成に使用できるリージョンを制限するポリシーを、管理グループに適用できます。 このポリシーは、入れ子になったすべ

AWS SSOのコンソール画面を触ってると、「んん？？どういうこっちゃ??‍♂️」みたいに混乱することありませんか？画面に沿ってなんとなく設定はできたけど、どういう仕組みになっているかわからないというか… すみません、うまく言語化できていない自覚があるんですが、以下のような点がモヤモヤしています。 ユーザー&グループ、アカウント、アクセス権限セット各概念の関係性がわからない いや、俺はそもそもアクセス権限セットがどういうものなのか理解していないのでは？(モヤモヤ?) 今回はこのモヤモヤを解消するために、SSOの概念を図解していきたいと思います。SSOコンソール上での以下各操作によってどういうリソースが作成され、それぞれがどう動作するのかまとめます。 初期状態(SSO有効化前) SSOを有効化する ユーザーやグループを作成する アクセス権限セットを作成する アカウントにユーザー・グループを割