Amazon QuickでのIAMユーザーでのアカウント払い出し手順まとめ

こんにちは、こーへいです。

Amazon Quickを初めて導入する際、多くの管理者が実施するのが「社内メンバーへのQuickユーザー払い出し」だと思います。

Amazon Quickはユーザーの認証方式として「メールアドレスとパスワードを使った」シンプルな方式から、IAMユーザーやIAM Identity Center、シングルサインオン、ADを使う方法(参考)がありますが、今回は最も使用頻度が高く色んな操作に対応可能な方式である「パスワードベースまたはシングルサインオン (推奨)」のIAMユーザーの払い出しフローを、実際の手順に沿って整理してみました。

全体の流れ

まずは全体像です。IAMユーザーをベースにした払い出しは、大きく分けて次の流れで進みます。

1. Quick管理者がメンバー用のIAMユーザーを払い出す
2. 自己プロビジョニングにより、メンバー自身が初回ログイン時にQuickユーザーとして自動登録される
   • あるいは、管理者が手動でQuickユーザー(閲覧者・作成者・管理者など)を紐付ける
3. 払い出されたメンバーがログインする

自己プロビジョニングを使うと、管理者が一人ずつQuick側でユーザーを招待する手間が省けるため、今回はこちらを先に紹介し、その後に管理者が個別に紐付ける方法も補足します。

前提: 払い出す側・払い出される側に必要な権限

手順に入る前に、どんな権限が必要になるかを整理しておきます。

参考：https://docs.aws.amazon.com/ja_jp/quick/latest/userguide/provisioning-users.html

払い出す側（Quick管理者）に必要なもの

• AWSコンソールでIAMユーザーを作成できる権限（iam:CreateUser、iam:CreateLoginProfile、iam:AttachUserPolicyなど）
• Amazon Quick側の管理者権限（Amazon Quick管理者ロール）

大体はIAMユーザー側にAdmin権限に近いものが付与されていることが多いので気にする場面は少ないかもしれません。

払い出される側（メンバー）に必要なもの

• 管理者から発行されたIAMユーザーの認証情報（サインインURL、ユーザー名、初期パスワード）
• 初回ログイン時に自分自身をQuickユーザーとして登録するための最小権限（自己プロビジョニングを使う場合）

この「自分自身をQuickユーザーとして登録する権限」は、具体的には以下のいずれかのIAMアクションです。

ポリシー例（閲覧者として自己登録する場合）は以下の通りです。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "quicksight:CreateReader(もしくはCreateUser or CreateAdmin)",
            "Resource": "*"
        }
    ]
}

なお、管理者があらかじめQuick管理コンソール側でユーザーを登録しておく場合は、メンバー本人にこれらの権限を付与する必要はありません。

手順1: IAMユーザーを払い出す

まずはAWSコンソールのIAMからメンバー用のユーザーを作成します。と言いつつ今更な作業なので手順説明はほぼ省略します(作成手順参考)。

IAMからユーザー作成を行い、「AWSマネジメントコンソールへのユーザーアクセスを提供する」にチェックを入れてください。

作成が完了すると、サインインURL・ユーザー名・初期パスワードが発行されるので、これをメンバーに安全な方法で共有します。

作成後は、自己プロビジョニングを使う場合は、ここで作成したIAMユーザーに前述のquicksight:CreateReader（またはCreateUser）ポリシーをアタッチしておきます。使わない場合は、この時点でQuick関連のIAMポリシーを無理に付与する必要はありません。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "quicksight:CreateReader(もしくはCreateUser or CreateAdmin)",
            "Resource": "*"
        }
    ]
}

作成したユーザーをクリックし、許可から「インラインポリシー」でJSONで追加すると簡単です。

手順2: 自己プロビジョニングでQuickユーザーを登録する

メンバーの人数が多い場合、管理者が一人ずつQuick管理コンソールでユーザーを招待するのは手間がかかります。そこで便利なのが「自己プロビジョニング」です。

手順1でIAMユーザーにquicksight:CreateReader(もしくはCreateUser or CreateAdmin)ポリシーを付与しておけば、メンバーが初めてQuickにアクセスした瞬間に、自分自身のQuickユーザーが自動的に作成されます。管理者側で個別に招待する操作は不要です。

ここからは払い出されたユーザー側の操作です。

払い出されてIAMユーザーでログイン後、Quickにアクセスします。

このような画面が出てくるので「その他のアクティブな AWS コンソールセッション」に記載されているアカウントIDとIAMユーザー名が意図しているものかを確認しクリックしてください。

メールアドレスの入力を求められます。

権限がないと以下のエラー画面が出てきます。

成功です、今回は閲覧者としてアカウントが払い出しました。

メリット

• 管理者がQuick管理コンソールで一人ずつ招待する手間が不要になる
• 大人数への展開時に運用コストを抑えられる

注意点

• CreateUserやCreateAdminを安易に全メンバーへ付与すると、想定より多くの人が作成者・管理者として登録されてしまう可能性がある

そのため、自己プロビジョニングを使う場合も、基本的には「閲覧のみで良いメンバーにはCreateReader」「作成が必要なメンバーにはCreateUser」というように、IAMポリシー側でロールをある程度制御しておくのがおすすめです。

手順3: （自己プロビジョニングを使わない場合）管理者が手動でQuickユーザーを払い出す

自己プロビジョニング用のポリシーを付与していない場合は、管理者側でQuickユーザーを個別に紐付ける必要があります。管理者アカウントでQuickにログインし、「アカウントの管理」→「ユーザーの管理」を開きます。

「ユーザーを招待」から、手順1で作成したIAMユーザーを指定し、割り当てるロールを選択します。
IAMユーザー名を入力すると候補が表示されます。

今回は閲覧者プロとして招待します。

招待メールが届きます。

ここからは払い出されたユーザー側の操作です。

届いたメールから「クリックして招待を受け入れます」を押下します。

以下の画面が出てきた場合、「別のアカウントを追加する」を押下します。

メールに記載されているQuickのアカウント名を入力します。

IAMユーザー名を入力します。

AWSのサインイン画面に遷移するのでパスワードを入力してください。

無事ログインできました、閲覧者プロはプロフェッショナルライセンスに属するみたいです。

Quickの各ロールについて

ここで割り当てるロールにはいくつか種類があり、違いを理解しておくと選択で迷いません。

一般的な社内メンバーへの払い出しであれば、まずは「閲覧者」または「作成者」から始め、必要に応じて後からProプランやAdminへ変更する運用がおすすめです。

ロールを選択して招待を確定すると、対象のIAMユーザーがQuickユーザーとして登録されます。

まとめ

Amazon Quickへの社内メンバーの払い出しは、次の流れで進められます。

1. Quick管理者がIAMユーザーを払い出す
2. 自己プロビジョニング（推奨）でメンバー自身がQuickユーザーとして自動登録される、または管理者が手動でQuickユーザー（閲覧者・作成者・管理者など）を紐付ける
3. メンバーがログインする

人数が多い場合は自己プロビジョニングを使うことでIAMポリシーだけで完結し、管理者の運用負荷を抑えられます。組織の規模や運用体制に合わせて、どちらのやり方が向いているか検討してみてください。

参考

• Provisioning users for Amazon Quick
• Amazon Quick user types
• Amazon Quick の料金