Amplified exposure: How AWS flaws made Amplify IAM roles vulnerable to takeover | Datadog Security Labs
research Amplified exposure: How AWS flaws made Amplify IAM roles vulnerable to takeover April 15, 2024 aws vulnerability disclosure Key Points We identified two variants of a vulnerability in AWS Amplify that exposed identity and access management (IAM) roles associated with Amplify projects, allowing them to become assumable by anyone in the world. If the authentication component was removed fro
IAM Roles Anywhere + 自己署å証明書 を爆速ã§ä½œã£ã¦ã¿ãŸ
背景 去年7月ã«IAM Roles AnywhereãŒãƒªãƒªãƒ¼ã‚¹ã•ã‚Œã€ã‚¢ã‚¯ã‚»ã‚¹ã‚ー管ç†ãŒä¸è¦ã§AWSã®å¤–部ã®ãƒªã‚½ãƒ¼ã‚¹ã«å¯¾ã—ã¦IAMãƒãƒ¼ãƒ«ã‚’割り当ã¦ã‚‹ã§ãるよã†ã«ãªã‚Šã¾ã—ãŸã€‚ ã—ã‹ã—å…¬å¼ã®ãƒ‰ã‚ュメントã«ã¯è‡ªå·±ç½²å証明書を作æˆã™ã‚‹æ–¹æ³•ãŒè¨˜è¼‰ã•ã‚Œã¦ã„ã¾ã›ã‚“ã—ã€ç¾åœ¨ãƒãƒƒãƒˆä¸Šã«ä¸ŠãŒã£ã¦ã„る記事ã§ã¯æ‰‹é †ã‚‚複雑ã§ãªã‹ãªã‹å®¹æ˜“ã«ä½œæˆã§ããªã„ã‚‚ã®ãŒå¤šã„ã¨æ„Ÿã˜ã¾ã—ãŸã€‚ ãªã®ã§ä»Šå›žã¯IAM Roles Anywhere + 自己署å証明書を爆速ã§ä½œæˆã™ã‚‹æ–¹æ³•ã‚’紹介ã—ã¾ã™ã€‚ ã¾ãŸã€GitHub上ã«IAM Roles Anywhere作æˆã®ã‚¹ã‚¯ãƒªãƒ—トも公開ã—ã¦ã„ã¾ã™ã®ã§ã€è‰¯ã‹ã£ãŸã‚‰ã”活用ãã ã•ã„。 1. cfsslã®ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ« ã¾ãšã¯cfsslをインストールã—ã¾ã™ã€‚cfsslã¯ç°¡å˜ã«CSRã€ç§˜å¯†éµã‚’作æˆã§ãるツールã§ã™ã€‚ opensslã§ã™ã¨ã„ã‚ã‚“ãªã‚ªãƒ—ションを指定ã—ãªã„ã¨ã„ã‘ãªã„ã—ã€ã‚¢ãƒ«ã‚´ãƒªã‚ºãƒ ã‚’é–“é•ãˆãŸã‚‰ä¿¡é ¼ã‚¢
Lake Formation を使用㗠AWS アカウント間ã§ã‚»ã‚ュアã«ãƒ‡ãƒ¼ã‚¿å…±æœ‰ã‚’å®Ÿç¾ | Amazon Web Services
Amazon Web Services ブãƒã‚° Lake Formation を使用㗠AWS アカウント間ã§ã‚»ã‚ュアã«ãƒ‡ãƒ¼ã‚¿å…±æœ‰ã‚’å®Ÿç¾ è¿‘å¹´ã€å¤šãã®ä¼æ¥ã§æ§‹é€ 化データ・éžæ§‹é€ 化データをスケーラブルãªå½¢ã§ä¸€ç®‡æ‰€ã«é›†ç´„ã—ãŸã„ニーズãŒå¢—ãˆã¦ããŸã“ã¨ã‹ã‚‰ã€ãƒ‡ãƒ¼ã‚¿ãƒ¬ã‚¤ã‚¯ãŒéžå¸¸ã«æ³¨ç›®ã‚’集ã‚ã¦ã„ã¾ã™ã€‚データã¯å…ƒã®ã¾ã¾ä¿ç®¡ã•ã‚Œã¦ã„ã‚‹ãŸã‚ã€äº‹å‰ã«å®šã‚られãŸã‚¹ã‚ーマã¸ã®å¤‰æ›ã¯å¿…è¦ãªãã€ãƒ“ジãƒã‚¹ãƒ¦ãƒ¼ã‚¹ã‚±ãƒ¼ã‚¹ã«å¿œã˜ã¦æŸ”軟ã«æ–°ãŸãªåˆ†æžã‚’データレイク上ã§å§‹ã‚ã‚‹ã“ã¨ãŒã§ãã¾ã™ã€‚ 実利用ã«ãŠã„ã¦ã¯ã€è‡ªç¤¾ãŒæ‰€æœ‰ã™ã‚‹ãƒ‡ãƒ¼ã‚¿ã‚’ä»–ã®ä¼æ¥ã€çµ„ç¹”ã€ã¾ãŸã¯ãƒ“ジãƒã‚¹ãƒ¦ãƒ‹ãƒƒãƒˆã«å…±æœ‰ã—ãŸã„è¦ä»¶ãŒã‚ˆãã‚ã‚Šã¾ã™ã€‚例ã¨ã—ã¦ã€ä»–社ã®ã‚¹ãƒ†ãƒ¼ã‚¯ãƒ›ãƒ«ãƒ€ãƒ¼ã«è‡ªç¤¾ã®ãƒ‡ãƒ¼ã‚¿ã‚’共有ã—ã€å…±åŒã®ãƒžãƒ¼ã‚±ãƒ†ã‚£ãƒ³ã‚°ã‚ャンペーンを打ã¡å‡ºã™ãªã©ãŒè€ƒãˆã‚‰ã‚Œã¾ã™ã€‚ã“ã®ã‚ˆã†ãªãƒ¦ãƒ¼ã‚¹ã‚±ãƒ¼ã‚¹ã§ã€ãƒ‡ãƒ¼ã‚¿ã®æ供元 (プãƒãƒ‡ãƒ¥ãƒ¼ã‚µãƒ¼) ã¯è‡ªèº«ã®ãƒ‡ãƒ¼ã‚¿ã‚’丸ã”ã¨ã‚³ãƒ”ーã™ã‚‹ã“ã¨ãªãã€ã‚»ã‚ュアã‹ã¤
AWS IAMã®å±žäººçš„ãªç®¡ç†ã‹ã‚‰ã®è„±å´ã€DeNA TechCon 2021】/techcon2021-19
AWSã‚’ã¯ã˜ã‚ã¨ã™ã‚‹ã‚¯ãƒ©ã‚¦ãƒ‰ãƒ—ラットフォームã®æ™®åŠã«ä¼´ã„ã€Devã¨Opsã®å¢ƒç›®ã¯ã‹ãªã‚Šæ›–昧ã«ãªã£ã¦ã„ã¾ã™ã€‚ãã®ä¸ã§ã‚‚IAMã®ç®¡ç†ã¯è¨å®šã«ã‚ˆã£ã¦ã¯æ¨©é™æ˜‡æ ¼ã‚’引ãèµ·ã“ã—ã‹ããªã„ã“ã¨ã‹ã‚‰ã€ãã®ç®¡ç†æ¨©é™ã¯æ…Žé‡ãªç®¡ç†ã«ãªã‚ŠãŒã¡ã§ã™ã€‚çµæžœçš„ã«ã€IAMã¯å±žäººçš„ãªç®¡ç†ã‚’è¡Œã£ã¦ã„る組織ãŒå¤šã„ã®ã§ã¯ãªã„ã§ã—ょã†ã‹ã€‚ …
[アップデート]æ–°IAM Policy Condition aws:CalledVia ã‚’å¦ã¶ | DevelopersIO
IAM Policyã®Conditionã«aws:CalledViaã¨ã„ã†ã‚ーãŒè¿½åŠ ã•ã‚Œã¾ã—ãŸã€‚ã©ã†ã„ã£ãŸã‚ーãªã®ã‹ã”説明ã—ã¾ã™ã€‚ 一言ã§ã„ã†ã¨ 「特定ã®ã‚µãƒ¼ãƒ“ス経由ã§å®Ÿè¡Œã—ã¦ã„ã‚‹/ã„ãªã„ã€ã¨ã„ã†æ¨©é™ä»˜ä¸Žã®æ¡ä»¶ãŒè¨å®šå¯èƒ½ã«ãªã‚Šã¾ã—ãŸã€‚ 具体例を出ã—ã¦èª¬æ˜Žã—ã¾ã™ã€‚ ã“ã‚Œã¾ã§: aws:CalledViaãŒç„¡ã„世界 CloudFormation（以下CFn）を使ã£ã¦ã€VPCを作æˆã—ãŸã„ã¨ã—ã¾ã™ã€‚ CFnテンプレートã¯è‡³æ¥µã‚·ãƒ³ãƒ—ルã§ã™ã€‚ AWSTemplateFormatVersion: "2010-09-09" Description: Create VPC Resources: VPC: Type: AWS::EC2::VPC Properties: CidrBlock: "192.168.0.0/16" EnableDnsSupport: "true" EnableDnsHostnames
![[アップデート]æ–°IAM Policy Condition aws:CalledVia ã‚’å¦ã¶ | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/be87d4dc194a448afd90d0a4b97626b36839fd3a/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F05%2Faws-iam.png)
[新機能]IAMã®å§”è²æ¨©é™ã‚’制é™å¯èƒ½ãªPermissions BoundaryãŒç™»å ´ã—ãŸã®ã§è©¦ã—ã¦ã¿ãŸ | DevelopersIO
新機能ã¨ã—ã¦IAMã®å§”è²æ¨©é™ã‚’制é™å¯èƒ½ãªPermissions BoundaryãŒç™»å ´ã—ãŸã®ã§è©¦ã—ã¦ã¿ã¾ã—ãŸã€‚ ã«ã—ã–ã‚ã§ã™ã€‚ブãƒã‚°ã¨ã„ã†ã‹æ–°æ©Ÿèƒ½ã«ã¤ã„ã¦è§¦ã‚‹ã®ã‚‚久々ãªæ„Ÿã˜ã§ã™ãŒã€å¤§å¥½ããªã‚µãƒ¼ãƒ“スã®1ã¤ã§ã‚ã‚‹IAMサービスã«ã€"Permissions Boundary"ã¨ã„ã†æ–°ãŸãªæ©Ÿèƒ½ãŒç™»å ´ã—ãŸã®ã§ã€è©¦ã—ã¦ã¿ãŸã„ã¨æ€ã„ã¾ã™ã€‚ã»ã¼ä¸‹è¨˜ã®ãƒ‰ã‚ュメントã®ã‚·ãƒŠãƒªã‚ªé€šã‚Šãªã®ã§ã™ãŒã€ã‚ˆã‚Šã‚·ãƒ³ãƒ—ルã«èª¬æ˜Žã§ãるよã†ã«å°‘ã—è¨å®šã‚’変ãˆãªãŒã‚‰è©¦ã—ãŸçµæžœã‚’ã”紹介ã—ã¾ã™ã€‚ AWS Developer Forums: Delegate Permission Management to Employees by Using IAM Permissions Boundaries Permissions Boundaries for IAM Identities - AWS Identity and Access Mana
![[新機能]IAMã®å§”è²æ¨©é™ã‚’制é™å¯èƒ½ãªPermissions BoundaryãŒç™»å ´ã—ãŸã®ã§è©¦ã—ã¦ã¿ãŸ | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/7ba1034b9360dd6b5d9f1c5c3fa68ed286fc549d/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2014%2F05%2FIAM.png)
[AWS] マãƒã‚¸ãƒ¡ãƒ³ãƒˆã‚³ãƒ³ã‚½ãƒ¼ãƒ«ã¸ã®IAMユーザーãƒã‚°ã‚¤ãƒ³æ™‚ã«ç™ºç”Ÿã™ã‚‹ã‚¤ãƒ™ãƒ³ãƒˆ - Qiita
発端 CloudWatch Events を使ã£ã¦ã€AWSマãƒã‚¸ãƒ¡ãƒ³ãƒˆã‚³ãƒ³ã‚½ãƒ¼ãƒ«ã¸ã®IAMユーザーã®ãƒã‚°ã‚¤ãƒ³å¤±æ•—を検知ã—ã¦ã„ã¾ã—ãŸã€‚ ã§ã™ãŒã€ã©ã†ã‚„ら「éžå˜åœ¨ãƒ¦ãƒ¼ã‚¶ãƒ¼ã€ã®ãƒã‚°ã‚¤ãƒ³å¤±æ•—を検知ã§ããªããªã£ã¦ã„るよã†ã§ã™ã€‚ã“ã“１〜２ヶ月ã®é–“ã«ã€‚ ã¨ã„ã†ã‚ã‘ã§ã€ç›®çš„↓ 目的 IAMユーザーã®ãƒžãƒã‚¸ãƒ¡ãƒ³ãƒˆã‚³ãƒ³ã‚½ãƒ¼ãƒ«ãƒã‚°ã‚¤ãƒ³æ™‚ã€æˆåŠŸ/失敗ã§ãã‚Œãžã‚Œã©ã®ã‚ˆã†ãªã‚¤ãƒ™ãƒ³ãƒˆãŒç™ºç”Ÿã™ã‚‹ã‹ã‚’確èªã™ã‚‹ã€‚ 調査方法 CloudWatch Events 㧠SignIn ã®ã‚¤ãƒ™ãƒ³ãƒˆã‚’検知ã—ã€Lambdaã«æµã—ã¦ãƒã‚°å‡ºåŠ›ã—ã¾ã™ã€‚ ※以å‰ã®ã‚¤ãƒ™ãƒ³ãƒˆãƒ‘ターンã¨ã®æ¯”較もã§ãã‚Œã°ã‚ˆã‹ã£ãŸã®ã§ã™ãŒã€ã‚ã‹ã‚Šã‚„ã™ããƒã‚°ã‚’残ã—ã¦ãªã„＆é¡ã£ã¦èª¿ã¹ã‚‹æ°—力ã¯ç„¡ã„ã®ã§ã€ã‚„ã‚Šã¾ã›ã‚“。 CloudWatch Event Rule ã®ã‚¤ãƒ™ãƒ³ãƒˆãƒ‘ターン
![[AWS] マãƒã‚¸ãƒ¡ãƒ³ãƒˆã‚³ãƒ³ã‚½ãƒ¼ãƒ«ã¸ã®IAMユーザーãƒã‚°ã‚¤ãƒ³æ™‚ã«ç™ºç”Ÿã™ã‚‹ã‚¤ãƒ™ãƒ³ãƒˆ - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/dab5eee8e948b9b911496b2f79880f0777264867/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Farticle-ogp-background-9f5428127621718a910c8b63951390ad.png%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-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%26mark-x%3D142%26mark-y%3D112%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTYxNiZ0eHQ9JTQwbmlzZGEmdHh0LWNvbG9yPSUyMzIxMjEyMSZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT0zNiZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZzPWEwNGViZjYyMzcxMzZhZjI2YTk2ZWZhOTk3MGQxNjI5%26blend-x%3D142%26blend-y%3D491%26blend-mode%3Dnormal%26s%3Dc8c6d3562cbbaec2adc07db725dc0e67)
IAMãƒãƒ¼ãƒ«ã®ã‚»ãƒƒã‚·ãƒ§ãƒ³æœŸé–“ãŒ1時間ã‹ã‚‰12時間ã«å»¶é•·å¯èƒ½ã«ãªã‚Šã¾ã—㟠| DevelopersIO
è¨å®š IAMダッシュボードã®ã€Œãƒãƒ¼ãƒ«ã€è¨å®šã¨ã—ã¦ã€CLI/API セッション期間ã®æŒ‡å®šãŒå¯èƒ½ã«ãªã‚Šã¾ã—ãŸã€‚ 期間ã¨ã—ã¦ã€1時間(3600秒)ã‹ã‚‰ã€æœ€å¤§ã§ã¯12時間(43200秒)ã¾ã§ã®æŒ‡å®šå¯èƒ½ã§ã™ã€‚ 確èªæ‰‹é † åŒæ™‚刻ã«2ã¤ã®ç•°ãªã‚‹ãƒ–ラウザ(Firefox/Safari)を利用ã—ã¦AWSコンソールã«IAMãƒã‚°ã‚¤ãƒ³ CLI/API セッション期間 1時間ã¨ã€12時間ã®ãƒãƒ¼ãƒ«ã«ã‚¹ã‚¤ãƒƒãƒã—ã¾ã—ãŸã€‚ CloudTrailãƒã‚°(抜粋) 1時間è¨å®šãƒãƒ¼ãƒ«(Firefox) "eventTime": "2018-03-29T12:55:07Z", "eventSource": "signin.amazonaws.com", "eventName": "SwitchRole", "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:59
マãƒã‚¸ãƒ¡ãƒ³ãƒˆã‚³ãƒ³ã‚½ãƒ¼ãƒ«ã§å‚ç…§å¯èƒ½ãªã‚µãƒ¼ãƒ“スを制é™ã™ã‚‹ | DevelopersIO
ã“ã‚“ã«ã¡ã¯ã€å‚å·»ã§ã™ã€‚ 今回ã¯ã€ç‰¹å®šã®IAMユーザã«å¯¾ã—ã¦ã€ マãƒã‚¸ãƒ¡ãƒ³ãƒˆã‚³ãƒ³ã‚½ãƒ¼ãƒ«ã‹ã‚‰å‚ç…§ã§ãるサービスを制é™ã—ã¦ã¿ãŸã„ã¨æ€ã„ã¾ã™ã€‚ 目次 カスタマー管ç†ãƒãƒªã‚·ãƒ¼ã®ä½œæˆ ãƒãƒªã‚·ãƒ¼ã®å†…容 ãƒãƒªã‚·ãƒ¼ã®ä½œæˆ ãƒãƒªã‚·ãƒ¼ã®é©ç”¨ å‹•ä½œç¢ºèª ãƒžãƒã‚¸ãƒ¡ãƒ³ãƒˆã‚³ãƒ³ã‚½ãƒ¼ãƒ« AWS CLI 最後㫠カスタマー管ç†ãƒãƒªã‚·ãƒ¼ã®ä½œæˆ 本エントリã§ã¯ã€ãƒžãƒã‚¸ãƒ¡ãƒ³ãƒˆã‚³ãƒ³ã‚½ãƒ¼ãƒ«ã‚ˆã‚Šã‚«ã‚¹ã‚¿ãƒžãƒ¼ç®¡ç†ãƒãƒªã‚·ãƒ¼ã‚’作æˆã—ã¾ã™ã€‚ インラインãƒãƒªã‚·ãƒ¼ã‚’利用ã—ã¦åŒæ§˜ã®åˆ¶é™ã‚’è¡Œã†äº‹ã‚‚ã§ãã¾ã™ãŒã€ インラインãƒãƒªã‚·ãƒ¼ã®å ´åˆã€ãƒ—リンシパルエンティティ(ユーザーã€ã‚°ãƒ«ãƒ¼ãƒ—ã€ãƒãƒ¼ãƒ«)ã¨1対1ã®é–¢ä¿‚ã«ãªã‚Šã€ å†åˆ©ç”¨ã‚’è¡Œã†äº‹ãŒã§ãã¾ã›ã‚“。 ãƒãƒªã‚·ãƒ¼ã®åˆ†é¡žã«ã¤ã„ã¦ã®è©³ç´°ã¯ã€ä»¥ä¸‹ã®ã‚¨ãƒ³ãƒˆãƒªã‚’ã”確èªãã ã•ã„。 AWS IAMポリシーをç†è§£ã™ã‚‹ ãƒãƒªã‚·ãƒ¼ã®å†…容 ã“ã“ã§ã¯ã€EC2ã®ä¸€è¦§è¡¨ç¤ºã®ã¿å¯èƒ½ãªãƒãƒªã‚·ãƒ¼ã‚’作æˆã—ã¾ã™ã€‚ ãƒãƒªã‚·ãƒ¼ã®å†…容ã¯ä»¥ä¸‹ã¨ãªã‚Šã¾ã™ã€‚ {
[レãƒãƒ¼ãƒˆ] AWS主催ã®IAM技術セミナーã«å‚åŠ ã—ã¦ãã¾ã—㟠| DevelopersIO
先日開催ã•ã‚Œã¾ã—ãŸã€AWS 主催ã®æŠ€è¡“セミナーã«å‚åŠ ã—ã¦ãã¾ã—ãŸã®ã§ãƒ¬ãƒãƒ¼ãƒˆã—ã¾ã™ã€‚ 今回ã®ã‚»ãƒŸãƒŠãƒ¼ã¯ã€Œã‚¨ãƒ³ã‚¿ãƒ¼ãƒ—ライズサãƒãƒ¼ãƒˆå¥‘ç´„ã‚’çµã‚“ã§ã„るパートナーä¼æ¥é™å®šã®ãƒˆãƒ¬ãƒ¼ãƒ‹ãƒ³ã‚°ã‚»ãƒƒã‚·ãƒ§ãƒ³ã€ã¨ã„ã†ã“ã¨ã§ã€ç‰¹ã«ã‚µãƒãƒ¼ãƒˆã‚¨ãƒ³ã‚¸ãƒ‹ã‚¢ã‚’対象ã¨ã—㦠1/25 ã«é–‹å‚¬ã•ã‚ŒãŸã‚‚ã®ã§ã™ã€‚弊社ã‹ã‚‰ã¯ã€ã‚ªãƒšãƒ¬ãƒ¼ã‚·ãƒ§ãƒ³ãƒãƒ¼ãƒ 所属ã®ã‚ãŸã—以外㫠2åã€ã¾ãŸãƒªãƒ¢ãƒ¼ãƒˆã§ 2åã®ã€è¨ˆ 5åã§å‚åŠ ã—ã¾ã—ãŸã€‚ é™å®šã‚»ãƒƒã‚·ãƒ§ãƒ³ã¨ã„ã†ã“ã¨ã§ã€ãã®å†…容を詳細ã«ã¯æ›¸ã‘ãªã„ã®ã§ã™ãŒã€é›°å›²æ°—ã‚’ãŠä¼ãˆã§ãã‚Œã°ã¨æ€ã„ã¾ã™ã€‚ セッション内容 セッション㯠AWS ã®ã‚ªãƒ•ã‚£ã‚¹ã§é–‹å‚¬ã•ã‚Œã¾ã—ãŸã€‚ テーマ : IAM (AWS Identity and Access Management) 内容 : IAM技術セミナー (アドãƒãƒ³ã‚¹ãƒ‰) 事å‰ã«å‚åŠ è€…ã‹ã‚‰å¯„ã›ã‚‰ã‚ŒãŸè³ªå•ã«å¯¾ã™ã‚‹ Q&A ケース事例ã«ã¤ã„㦠対象 : IAM Black Belt レベ
![[レãƒãƒ¼ãƒˆ] AWS主催ã®IAM技術セミナーã«å‚åŠ ã—ã¦ãã¾ã—㟠| DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/eb4226b8c2e69cf714b391dc7dd11e85592eea24/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2015%2F09%2Freport.png)
Ansibleã§AssumeRoleã‚’è¡Œã„botoã«ã‚ˆã‚‹MFA入力を回é¿ã™ã‚‹ | DevelopersIO
渡辺ã§ã™ã€‚ 複数ã®AWSアカウントã«å¯¾ã—ã€IAMãƒãƒ¼ãƒ«ã‚’管ç†ã—よã†ã¨ã—ã¦è‰²ã€…ãƒãƒžã‚Šã¾ã—ãŸãƒ»ãƒ»ãƒ»ã€‚ 管ç†æ–¹æ³•ã¨ã—ã¦ã€Ansibleã€Terraformã€CloudFormationã¨æ¤œè¨Žã—ã¾ã—ãŸãŒã€æœ€çµ‚çš„ã«Ansibleã«è½ã¡ç€ãã¾ã—ãŸã€‚ å‰æã¨ã—ã¦æ¬¡ã®ã‚ˆã†ãªåˆ¶ç´„ãŒã‚ã‚Šã¾ã™ã€‚ メインアカウントã®ã¿MFAを有効ã«ã—ãŸIAMユーザを作æˆã—ã€ã‚¢ã‚¯ã‚»ã‚¹ã‚ー/シークレットã‚ーã¯ä½œæˆã™ã‚‹ 管ç†å¯¾è±¡ã®AWSアカウントã®ã‚¢ã‚¯ã‚»ã‚¹ã‚ー/シークレットã‚ーã¯ä½œæˆã—ãªã„ è¨å®šãƒ•ã‚¡ã‚¤ãƒ«ãªã©ã§æ§‹æˆç®¡ç†ã‚’行ㆠãªãŠã€æ§‹æˆç®¡ç†ã‚’è¡Œã†ã«ã¯ã€Ansible以外ã«ã€CloudFormationã‚„Terraformãªã©ãŒé¸æŠžè‚¢ã¨ã—ã¦ã‚ã‚Šã¾ã™ã€‚ iam_role モジュールã¨with_items Ansibleã§ã¯ã€AWS関連モジュールも多ãæä¾›ã•ã‚Œã¦ã„ã¾ã™ã€‚ ã¯ã˜ã‚ã«ã€ iam_roleモジュールã¨ã€ç¹°ã‚Šè¿”ã—処ç†ã‚’行ㆠwith_
IAMã®EC2権é™ã‚’ã¾ã¨ã‚ã¦ã¿ãŸ - サーãƒãƒ¼ãƒ¯ãƒ¼ã‚¯ã‚¹ã‚¨ãƒ³ã‚¸ãƒ‹ã‚¢ãƒ–ãƒã‚°
ã¿ãªã•ã‚“ã“ã‚“ã«ã¡ã¯ã€‚ テクニカルグループã®å±±ç”°ã§ã™ã€‚ 最近ã€IAMã§æ¨©é™ã‚’管ç†/è¨å®šã™ã‚‹æ©Ÿä¼šãŒå¤šã„ã®ã§ã™ãŒã€ãã®ä¸ã§ã‚‚特ã«è¨å®šã™ã‚‹æ©Ÿä¼šãŒå¤šã„ EC2ã®æ¨©é™Â を一覧ã«ã—ã¦ã¾ã¨ã‚ã¾ã—ãŸã€‚ IAMã§è¨å®šãŒå‡ºæ¥ã‚‹EC2ã®æ¨©é™ã‚’å…¨ã¦ç¶²ç¾…ã—ã¦ãŠã‚Šã¾ã™ã€‚ EC2ã®IAMæ¨©é™ ã‚¢ã‚¯ã‚·ãƒ§ãƒ³ アクションã®å†…容 ec2:ActivateLicense ライセンスを有効化ã™ã‚‹ ec2:AllocateAddress EIPã‚’å–å¾—ã™ã‚‹ ec2:AssignPrivateIpAddresses ENIã«Secondary Private IPã‚’è¿½åŠ ã™ã‚‹ ec2:AssociateAddress インスタンス/ENIã«EIPを割り当ã¦ã‚‹ ec2:AssociateDhcpOptions VPCã«DHCP Option Setを関連付ã‘ã‚‹ ec2:AssociateRouteTable サブãƒãƒƒãƒˆã«å¯¾ã—ã¦RouteTab
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
IAM Policies for integrated services - AWS Step Functions
{{#tags}}- {{label}}
{{/tags}}