AWS CLIからCloudFormation でユーザとロールを作成して、流れるようにスイッチロールの確認をしてみた

最近は、ABACばっかりやってるAWS 事業本部 梶原＠福岡オフィスです。

ABAC(属性ベースのアクセスコントロール ）を実施する際、ポリシーは同一にして、スケールすることができるのですが、ユーザやロールの確認作業は必要になってきます。 とはいえ、様々な属性値のユーザの確認作業を手作業でやるのは結構大変です。

ということで検証作業を楽にするため、ユーザー作成、ロール作成部分をTemplate化しました。必要に応じて修正（タグ値を追加など）して、ご自由にお使いください また流れで、ロールの検証を行いたいため、スイッチロールを楽にするために認証情報を取得しやすくしています。 credentialsの設定や、configの設定って微妙にはまりがちなのでなるべく簡単に定型作業でできるようにしています。でわでわ

Templateの説明

Template全体は、Githubへのリンクを参照してください

ユーザー、ロール作成用 CloudFormation テンプレート

https://github.com/ambasad/devio-blog-cfn/raw/master/iam/cfn-iam-user.yml

ユーザ作成部分

パラメータで指定したRoleへのAssumeRoleだけ可能なユーザを作成しています

  IAMManagedPolicyAssumeRole:
    Type: AWS::IAM::ManagedPolicy
    Properties:
      ManagedPolicyName: access-assume-role
      Path: /
      PolicyDocument: !Sub |
        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "AssumeRole",
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Resource": "arn:aws:iam::${AWS::AccountId}:role/${RoleName}"
                }
            ]
        }

  IAMUser1:
    Type: AWS::IAM::User
    Properties:
      Path: /
      UserName: !Ref UserName
      ManagedPolicyArns:
        - !Ref IAMManagedPolicyAssumeRole

ロール作成部分

信頼されたエンティティに作成したユーザを指定しています

  IAMRole1:
    Type: AWS::IAM::Role
    Properties:
      Path: /
      RoleName: !Ref RoleName
      AssumeRolePolicyDocument: !Sub |
        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Principal": {"AWS":"${IAMUser1.Arn}"}
                }
            ]
        }
      MaxSessionDuration: 3600

API アクセスキー作成部分

API アクセスキーを作成します

  IAMAccessKeyUser1:
    Type: AWS::IAM::AccessKey
    Properties:
      UserName: !Ref IAMUser1

API アクセスキー保存部分

作成したAPIキーをSecretsManagerに保存しています。 後で使いやすいように認証情報ファイル(credentials)で使いやすいように整形しています 後程、設定情報ファイル(.aws/credentials)に設定します。

※ 認証情報をSecretsManager保持することになるため、必要に応じてパラメータのKmsKeyIdを指定し 作成したユーザだけが復号、取得できるようにするなどの対応を推奨します。

  SecretUser1:
    Type: AWS::SecretsManager::Secret
    Properties:
      Name: !Sub ${IAMUser1}-credentials
      KmsKeyId: !If [UseKmsKey, !Ref KmsKeyId, !Ref "AWS::NoValue"]
      SecretString: !Sub |
        [${IAMUser1}]
        aws_access_key_id = ${IAMAccessKeyUser1}
        aws_secret_access_key = ${IAMAccessKeyUser1.SecretAccessKey}

こんな感じの文字列が設定されます

[UserA]
aws_access_key_id = xxxxxxxxxxxxxxxxxx
aws_secret_access_key = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

認証設定情報保存部分

こちらは認証情報を含まないため、設定ファイル(config)で使いやすいように整形して保存しています。 後程、設定情報ファイル(.aws/config)に設定します。

内容は追加したユーザから作成したロールにスイッチロールする設定になります

  IAMRole1Config:
    Type: AWS::SSM::Parameter
    Properties:
      Type: String
      Value: !Sub |
        [profile ${IAMRole1}]
        role_arn = ${IAMRole1.Arn}
        source_profile = ${IAMUser1}

こんな感じの文字列が設定されます

[profile RoleA]
role_arn = arn:aws:iam::XXXXXXXXXXXX:role/RoleA
source_profile = UserA

出力部

使用しやすいように、作成したユーザやロールをパラメータにしたコマンドを出力しています。

Outputs:
  User1Credentials:
    Value: !Sub |
      aws secretsmanager get-secret-value --secret-id ${SecretUser1} --query 'SecretString' --output text >> ~/.aws/credentials
  User1Config:
    Value: !Sub |
      aws ssm get-parameters --names ${IAMRole1Config} --query 'Parameters[].Value' --output text >> ~/.aws/config
  User1SwitchRole:
    Value: !Sub |
      aws sts get-caller-identity --profile ${IAMRole1}

AWS CLIからCloudFormationの実行

なお、CloudFormationの実行権限等はあるものとして進めています。

Stack作成

テンプレート cfn-iam-user.yml を実行して、スタック作成します。 ユーザ名、ロール名などはパラメータで指定できるようにしていますが、ここではデフォルト値(UserA, RoleA)を使用します。

template=cfn-iam-user
aws cloudformation create-stack --stack-name $template \
--template-body "file://./$template.yml" \
--capabilities CAPABILITY_NAMED_IAM

AWS CLIからCloudFormationの実行結果を取得し、認証情報を設定

認証情報の取得

認証情報をSecretsManagerから取得します。CloudFormationの出力に取得用のコマンドを設定しているので取得します。

aws cloudformation describe-stacks --stack-name $template \
--query 'Stacks[].Outputs[?OutputKey==`User1Credentials`].OutputValue' \
--output text

以下のようなコマンドが取得できるかと思いますので実行します。 取得した認証情報を ~/.aws/credentials に追記しています。

aws secretsmanager get-secret-value --secret-id arn:aws:secretsmanager:ap-northeast-1:XXXXXXXXXXXX:secret:UserA-credentials-XXXXX --query 'SecretString' --output text >> ~/.aws/credentials

必要に応じて実際に設定（追記）されているか確認してみます。

cat ~/.aws/credentials

認証設定の取得

認証設定情報をSystemsManager のパラメータから取得します。CloudFormationの出力に取得用のコマンドを設定しているので取得します。

aws cloudformation describe-stacks --stack-name $template \
--query 'Stacks[].Outputs[?OutputKey==`User1Config`].OutputValue' \
--output text

以下のようなコマンドが取得できるかと思いますので実行します。 取得した認証設定情報を ~/.aws/config に追記しています。

aws ssm get-parameters --names CFN-IAMRole1Config-XXXXXXXXXXXX --query 'Parameters[].Value' --output text >> ~/.aws/config

必要に応じて実際に設定（追記）されているか確認してみます。

cat ~/.aws/config

AWS CLIからスイッチロール権限の確認

スイッチロールの確認

profileで指定できるようにしてますのでユーザの認証、スイッチロールが実行できるか確認します。

aws cloudformation describe-stacks --stack-name $template \
--query 'Stacks[].Outputs[?OutputKey==`User1SwitchRole`].OutputValue' \
--output text

以下のようなコマンドが取得できるかと思いますので実行します。 特にエラー等が発生せずに、Arnが取得できていればユーザの認証、スイッチロールは成功しています

aws sts get-caller-identity --profile UserA
{
"UserId": "XXXXXXXXXXXXXXXXXXXXX",
"Account": "XXXXXXXXXXXX",
"Arn": "arn:aws:iam::XXXXXXXXXXXX:user/UserA"
}

aws sts get-caller-identity --profile RoleA
{
"UserId": "XXXXXXXXXXXXXXX:botocore-session-1586854302",
"Account": "XXXXXXXXXXXXXXX",
"Arn": "arn:aws:sts::XXXXXXXXXXXXXXX:assumed-role/RoleA/botocore-session-XXXXXXXXXXXXXXX"
}

おまけ 既存のRoleにポリシーを追加してみる

これだけだと、ただスイッチロールの検証だけですので、必要なポリシーを定義した管理ポリシーを作成したロールに追加します。

サンプルとしてS3の権限を作成した管理ポリシーを先ほど作成したロールに追加します。

template=cfn-add-policy
aws cloudformation create-stack --stack-name $template --template-body "file://./$template.yml" \
--parameters "ParameterKey=Roles, ParameterValue=RoleA" \
--capabilities CAPABILITY_NAMED_IAM

スタックの作成、成功後、にprofileを指定して、S3へのアクセス権限等を確認します。

aws s3 ls --profile RoleA

まとめ

コマンドラインでの作業でなるべく完結するようにしてみました。コマンドライン(AWS CLI)で実施できるところまで行けば、検証含めた自動化もやりやすくなるかと思います。 今回公開しているテンプレートは基本的な部分にそぎおとしてますが、テンプレートの素材としては使いやすいようにしたつもりですので、どなたかのお役に立てれば幸いです。

後片付け

検証が終了したら、スタック、リソースは削除してしまいます。便利です。

template=cfn-iam-user
aws cloudformation delete-stack --stack-name $template

認証情報(~/.aws/credentials)、認証設定情報(~/.aws/config)も適時消してください。

テンプレートファイル

ユーザー、ロール作成用 CloudFormation テンプレート https://github.com/ambasad/devio-blog-cfn/raw/master/iam/cfn-iam-user.yml

既存のロールへの管理ポリシーの追加用 CloudFormation テンプレート

https://github.com/ambasad/devio-blog-cfn/raw/master/iam/cfn-add-policy.yml

参考情報

https://aws.amazon.com/jp/premiumsupport/knowledge-center/iam-assume-role-cli/