aws cliでassumerole

AWS CLIでAssumeRole

前置き

設定は自己責任でお願いします。

Temporary Security Credential

AccessKeyId

SecretAccessKey

AccessKeyId

SecretAccessKey

SessionToken

期限なし認証 期限付き認証

Temporary Security Credentialの種類

種別 説明 権限

GetSessionToken 自身の権限で一時認証自身の権限と同じ

クロスアカウント不可 MFA利用可

GetFederationToken 信頼ユーザで一時認証自身の権限内で規定 クロスアカウント不可

MFA利用不可

AssumeRole IAMロールとマッピングIAMロールで規定 クロスアカウント可

MFA利用可

（参考）http://docs.aws.amazon.com/ja_jp/STS/latest/UsingSTS/Welcome.html#AccessingSTS

Temporary Security Credentialの取得

Security Token Service（STS）から取得

取得したTokenは有効期限が切れるまで無効化できない（STSはTokenを払い出すところだけやる）

（参考）http://docs.aws.amazon.com/ja_jp/STS/latest/UsingSTS/DisablingTokenPermissions.html

GetSessionToken

GetSessionTokenのイメージ

期限なし認証を使って、STSから期限付き認証を取得

AccessKeyId SecretAccessKey

AccessKeyId SecretAccessKey SessionToken

GetSessionTokenのポイント

要求した人のアクセス権限そのまま

MFA保護のAPIも利用可能

AWS CLIでGetSessionToken（コマンド） $ aws sts get-session-token

（結果） { "Credentials": { "SecretAccessKey": "yyyyyyyy", "SessionToken": "zzzzzzzzzzzz", "Expiration": "2015-05-25T19:00:00Z", "AccessKeyId": "xxxx" } } ※KeyやTokenは実際にはもっと長い

get-session-tokenで 使えるオプション

--duration-seconds 有効期間（単位：秒）を設定 IAMユーザは、15m～36h（デフォルト12h） AWSアカウントは、15m～1h（デフォルト1h）

--serial-number, --token-code MFA保護でも利用可能

（参考）http://docs.aws.amazon.com/cli/latest/reference/sts/get-session-token.html

期限付き認証の使い方取得した期限付き認証を使いたい人に渡す

環境変数で指定 export AWS_ACCESS_KEY_ID=xxxx export AWS_SECRET_ACCESS_KEY=yyyyyyyy export AWS_SESSION_TOKEN=zzzzzzzzzzzz

configファイルで指定も可能 [profile temp-profile] aws_access_key_id=xxxx aws_secret_access_key=yyyyyyyy aws_session_token=zzzzzzzzzzzz ※credentialに記載の場合は"profile"は不要

（参考）http://docs.aws.amazon.com/ja_jp/cli/latest/userguide/cli-chap-getting-started.html

（蛇足）期限付き認証ワンライナー

aws sts get-session-token | awk ' $1 == "\"AccessKeyId\":" { gsub(/\"/,""); gsub(/,/,""); print "export AWS_ACCESS_KEY_ID="$2 } $1 == "\"SecretAccessKey\":" { gsub(/\"/,""); gsub(/,/,""); print "export AWS_SECRET_ACCESS_KEY="$2 } $1 == "\"SessionToken\":" { gsub(/\"/,""); gsub(/,/,""); print "export AWS_SESSION_TOKEN="$2 } '

GetSessionTokenユースケース

同一アカウント内で特定のAPIにのみMFA保護

（参考）http://docs.aws.amazon.com/ja_jp/STS/latest/UsingSTS/permissions-get-session-token.html

GetFederationToken

GetFederationTokenのイメージ

STSにFederatedユーザ作成を要求

Federated User

Federated Userは要求の度に作られる

？

Tokenと一緒に指定された権限を付与

GetFederationTokenのポイント

要求の度にFederated Userは作成される

発行の時にポリシー指定をしないと原則何も権限が無い（リソースベースで明示的な許可があればアクセス可）

（参考）http://docs.aws.amazon.com/ja_jp/STS/latest/UsingSTS/permissions-get-federation-token.html

AWS CLIでGetFederationToken

（コマンド） $ FED_USER=feduser $ POLICY_FILE=policy.json

$ aws sts get-federation-token \ --name ${FED_USER} \ --policy file://./${POLICY_FILE}

ポリシーを定義したjsonは事前に作成しておく

（結果） { "FederatedUser": { "FederatedUserId": "111122223333:feduser", "Arn": "arn:aws:sts::111122223333:federated-user/feduser" }, "Credentials": { "SecretAccessKey": "yyyyyyyy", "SessionToken": "zzzzzzzzzzzz", "Expiration": "2015-05-22T00:41:22Z", "AccessKeyId": "xxxx" }, "PackedPolicySize": 5 } ※KeyやTokenは実際にはもっと長い

get-federation-tokenで 使えるオプション

--duration-seconds 有効期間（単位：秒）を設定 IAMユーザは、15m～36h（デフォルト12h） AWSアカウントは、15m～1h（デフォルト1h）

（参考）http://docs.aws.amazon.com/cli/latest/reference/sts/get-federation-token.html

GetFederationTokenの使い方

前述の期限付き認証の使い方と同じ

GetFederationTokenユースケース

開発者に本番環境のアカウントを期限付きで貸し出し

構築ベンダに期限付き認証で作業を依頼

デモやハンズオンでも使えそう

AssumeRole

AssumeRoleのイメージ

STSにIAMロールを要求

Tokenと一緒にIAMロール権限を付与

Trusted Entity Assumed Role

Assumed Roleは元のTrusted Entityとは別人

arn:aws:iam::111122223333:user/IAM-User-AssumeTest

arn:aws:sts::222233334444:assumed-role/IAM-Role-AssumeTest/AssumeTest-Session

AssumeRoleのポイント

権限は関連付けられたIAMロールで設定

クロスアカウント可能

MFA認証済みEntityのみ信頼する設定も可能

（参考）http://docs.aws.amazon.com/ja_jp/STS/latest/UsingSTS/permissions-get-federation-token.html

IAMロールのポイント

IAMロールは、Role PolicyとAssumeRolePolicyDocument（Trust Relationship）の2要素で構成される

AssumeRolePolicyDocumentで許可されたTrusted Entityと組み合わせてRole Policy権限で動作する

Trusted Entityになれる人

AssumeされるIAMロールのAssumeRolePolicyDocument（Trust Relationship）に設定できる人

　＝少なくともPrincipalに指定できないとダメ

AWSアカウント（root）はAssumeRoleできない

Principal設定例"Principal": {"AWS": "111122223333"}

"Principal": {"AWS": "arn:aws:iam::111122223333:root"}

"Principal": {"AWS": "arn:aws:iam::111122223333:user/iam-user"}

"Principal": {"AWS": "arn:aws:iam::111122223333:role/iam-role"}

"Principal": {"Service": "ec2.amazonaws.com"}

"Principal": {"Federated": "www.amazon.com"}

（参考）http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/AccessPolicyLanguage_ElementDescriptions.html#Principal

Pricipal設定の注意

PrincipalにAWSアカウントを指定すると、全てのIAMアカウントが許可対象となる

IAMグループ単位でのPrincipal指定は不可

EC2サービスでPrincipal指定するのは、EC2インスタンスプロファイル用

（補足１） ユーザベース認証とリソースベース認証

Resourceで権限範囲を規定

Principalで権限範囲を規定

IAM

STS、S3 bucket等

Resource, Principalで設定できるARNには、制限が多いので公式ドキュメント確認と検証が必須（特にアスタリスク指定に注意）

Actionとの組み合わせにも要注意

（参考）http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/PermissionsOverview.html

AssumeRolePolicyDocumentの設定例{ "Version": "2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:user/IAM-User-AssumeTest" }, "Action": "sts:AssumeRole" } ] }

ExternalId(ユニークなキー)やMFA必須も設定可能

"Condition": { "StringEquals": { "sts:ExternalId": "TestExternalId" }, "Bool": { "aws:MultiFactorAuthPresent": true } }

AssumeRoleする側の設定例$ IAM_USER_NAME=IAM-User-AssumeTest $ aws iam get-account-authorization-details --filter User \ --query "UserDetailList[?UserName==\`${IAM_USER_NAME}\`]" [ { "UserName": "IAM-User-AssumeTest", "GroupList": [], "CreateDate": "2015-05-13T01:12:40Z", "UserId": "AIDAIN5BGYGE4BGFZ6ZL6", "Path": "/", "AttachedManagedPolicies": [ { "PolicyName": "BeforeAssumeRole-Policy", "PolicyArn": "arn:aws:iam::111122223333:policy/BeforeAssumeRole-Policy" } ], "Arn": "arn:aws:iam::111122223333:user/IAM-User-AssumeTest" } ]

一応ManagedPolicyを使ってみた

$ ATTACHED_USER_POLICY_NAME=`aws iam list-attached-user-policies --user-name ${IAM_USER_NAME} \ --query "AttachedPolicies[0].PolicyName" --output text` $ aws iam get-account-authorization-details --filter LocalManagedPolicy \ --query "Policies[?PolicyName==\`${ATTACHED_USER_POLICY_NAME}\`]" [ { "PolicyName": "BeforeAssumeRole-Policy", "CreateDate": "2015-05-14T03:03:33Z", "AttachmentCount": 1, "IsAttachable": true, "PolicyId": "ANPAJOUZGMVOPZZI3FLDW", "DefaultVersionId": "v1", "PolicyVersionList": [ { "CreateDate": "2015-05-14T03:03:33Z", "VersionId": "v1", "Document": { "Version": "2012-10-17", "Statement": [ { "Action": "sts:AssumeRole", "Resource": "arn:aws:iam::222233334444:role/IAM-Role-AssumeTest", "Effect": "Allow" } ] }, "IsDefaultVersion": true } ], "Path": "/", "Arn": "arn:aws:iam::111122223333:policy/BeforeAssumeRole-Policy", "UpdateDate": "2015-05-14T03:03:33Z" } ]

AssumeRoleする権限のみ付与

{ "Action": "sts: AssumeRole", "Resource": "arn:aws:iam::222233334444:role/IAM-Role-AssumeTest", "Effect": "Allow" }

AssumeRoleされる側の設定例$ IAM_ROLE_NAME=IAM-Role-AssumeTest $ aws iam get-account-authorization-details --filter Role \ --query "RoleDetailList[?RoleName==\`${IAM_ROLE_NAME}\`]" [ { "AssumeRolePolicyDocument": { "Version": "2012-10-17", "Statement": [ { "Action": "sts:AssumeRole", "Principal": { "AWS": "arn:aws:iam::111122223333:user/IAM-User-AssumeTest" }, "Effect": "Allow", "Sid": "" } ] }, "RoleId": "AROAJAF2IVAI6NIZZ3X34", "CreateDate": "2015-05-14T04:07:58Z", "InstanceProfileList": [], "RoleName": "IAM-Role-AssumeTest", "Path": "/", "AttachedManagedPolicies": [ { "PolicyName": "AfterAssumeRole-Policy", "PolicyArn": "arn:aws:iam::222233334444:policy/AfterAssumeRole-Policy" } ], "RolePolicyList": [], "Arn": "arn:aws:iam::222233334444:role/IAM-Role-AssumeTest" } ]

前述のAssumeRolePolicyDocument

一応ManagedPolicyを使ってみた

$ ATTACHED_ROLE_POLICY_NAME=`aws iam list-attached-role-policies --role-name ${IAM_ROLE_NAME} \ --query "AttachedPolicies[0].PolicyName" --output text` $ aws iam get-account-authorization-details --filter LocalManagedPolicy \ --query "Policies[?PolicyName==\`${ATTACHED_ROLE_POLICY_NAME}\`]" [ { "PolicyName": "AfterAssumeRole-Policy", "CreateDate": "2015-05-14T04:10:33Z", "AttachmentCount": 2, "IsAttachable": true, "PolicyId": "ANPAJTNO5P4GDC4GTFPC2", "DefaultVersionId": "v1", "PolicyVersionList": [ { "CreateDate": "2015-05-14T04:10:33Z", "VersionId": "v1", "Document": { "Version": "2012-10-17", "Statement": [ { "Action": "s3:*", "Resource": "*", "Effect": "Allow" } ] }, "IsDefaultVersion": true } ], "Path": "/", "Arn": "arn:aws:iam::222233334444:policy/AfterAssumeRole-Policy", "UpdateDate": "2015-05-14T04:10:33Z" } ]

S3フルアクセス権限のみ付与する例

{ "Action": "s3:*", "Resource": "*", "Effect": "Allow" }

AWS CLIでassume-role

（コマンド） $ AWS_ID=222233334444 $ IAM_ROLE_NAME=IAM-Role-AssumeTest $ IAM_ROLE_ARN=arn:aws:iam::${AWS_ID}:role/${IAM_ROLE_NAME} $ ROLE_SESSION_NAME=AssumeTest-Session

$ aws sts assume-role \ --role-arn ${IAM_ROLE_ARN} \ --role-session-name ${ROLE_SESSION_NAME}

任意のセッション名

（結果） { "AssumedRoleUser": { "AssumedRoleId": "AROAJAF2IVAI6NIZZ3X34:AssumeTest-Session", "Arn": "arn:aws:sts::222233334444:assumed-role/IAM-Role-AssumeTest/AssumeTest-Session" }, "Credentials": { "SecretAccessKey": yyyyyyyy", "SessionToken": "zzzzzzzzzzzz", "Expiration": "2015-05-25T19:00:00Z", "AccessKeyId": "xxxx" } }

assume-roleで使えるオプション--duration-seconds

有効期間（単位：秒）を設定 15m～1h（デフォルト1h）

--external-id 任意のユニークな文字列を指定可能 ※AssumeRolePolicyDocumentのConditionと組み合わせて利用

--serial-number, --token-code MFA保護でも利用可能 ※AssumeRolePolicyDocumentのConditionと組み合わせて利用

（参考）http://docs.aws.amazon.com/cli/latest/reference/sts/assume-role.html

Assumed Roleの使い方

前述の期限付き認証の使い方と同じ

（補足２）configファイル利用で 簡単にAssumeRole

[profile assumed] role_arn = arn:aws:iam::222233334444 :role/IAM-Role-AssumeTest source_profile = IAM-User-AssumeTest

上記設定で、Assumed Roleがprofileの1つ（--profile）として利用できる

source_profileを指定する場合は、事前設定が必要

期限が切れても自動更新されるのでセキュリティに要注意

（参考）http://dev.classmethod.jp/cloud/aws/aws-cli-supports-assume-role-credentials-provider-and-mfa/

（補足３）Mangement Consoleでも AssumeRole（Switch Role）

元アカウントでManagement Consoleログインできる状態で前述の設定をすると、Mangement ConsoleでもSwitch Roleできてしまう

セキュリティに要注意

（参考）http://dev.classmethod.jp/cloud/aws/switching-to-a-iam-role/

AssumeRoleのユースケース

複数のAWSアカウントを利用して作業する際に、多くのIAMパスワードを管理したくない

（補足４） EC2インスタンスプロファイルも実装は同じ$ curl http://169.254.169.254/latest/meta-data/iam/security-credentials/EC2RoleTest { "Code" : "Success", "LastUpdated" : "2015-05-14T09:36:35Z", "Type" : "AWS-HMAC", "AccessKeyId" : "xxxx", "SecretAccessKey" : "yyyyyyyy", "Token" : "zzzzzzzzzzzz", "Expiration" : "2015-05-14T16:00:15Z" }

CLIでIAMロールを作成する場合、Instance Profileは別途作成、ロールへの割当が必要な点に注意

$ aws iam create-instance-profile --instance-profile-name ${INSTANCE_PROFILE_NAME} $ aws iam add-role-to-instance-profile --role-name ${IAM_ROLE_NAME} \ --instance-profile-name ${INSTANCE_PROFILE_NAME}

（補足５）期限付き認証でMangement Consoleログインも可能

Assumed RoleとFederated User用にURLを作成して、AWS Management Consoleにログインすることも可能

（参考）http://docs.aws.amazon.com/ja_jp/STS/latest/UsingSTS/STSMgmtConsole-manualURL.html

（参考）http://www.infilic.co.jp/tech/?p=597

まとめ

期限付き認証を利用は十分注意して設定する

IAMロールの動作理解を深める為に勉強しておくと良いと思われる

Cognitoを使っていくことが望ましい（要検証）