全メンバーアカウントにおける全リージョンのAWS IAM Access Analyzerを一括削除してみた

全メンバーアカウントにおける全リージョンのAWS IAM Access Analyzerを一括削除してみた

#IAM Access Analyzer
#AWS
平井裕二

平井裕二

facebook logohatena logotwitter logo
Clock Icon2024.10.07

はじめに

クラスメソッドメンバーズのAWSアカウントをご利用の場合、セキュリティ強化とメンバーズサービス提供のため、複数のAWSサービスが自動的に有効化され、関連リソースが作成されます。

その一環として、cm-access-analyzerという名前のAWS IAM Access Analyzerが自動的に全リージョンで作成されます。このAnalyzerの信頼ゾーンは、アカウント単位で設定されています。

https://members.classmethod.net/members-docs/ja/resources/index.html?__hstc=53729015.c4a577029c49e44b73bd3bee6fa38565.1717027200314.1717027200315.1717027200316.1

以下の記事で解説されているように、マルチアカウント構成においては、通常、管理アカウントのみにAnalyzerを作成し、メンバーアカウントにはAnalyzerを作成しないケースが多いです。

https://dev.classmethod.jp/articles/multi-account-iam-access-analyzer/#toc-2

このため、各メンバーアカウントの全リージョンに存在するcm-access-analyzerを一括で削除する必要があります。本記事では、その効率的な方法をご紹介します。

実施手順の概要は以下の通りです。

  1. 管理アカウントにAssumeMemberRoleというIAMロールを作成し、メンバーアカウントのCustomOrganizationAccessRoleを引き受ける権限を付与します。
  2. メンバーアカウントにCustomOrganizationAccessRoleというIAMロールを作成し、IAM Access Analyzerの削除権限を付与します。
    この作業は、管理アカウントからCloudFormation StackSetsを使用して各メンバーアカウントに一括展開します。
  3. 管理アカウントから単一のコマンドを実行し、特定のOrganizational Unit (OU)配下の全アカウント内の全リージョンにあるcm-access-analyzerという名前のAnalyzerを削除します。

管理アカウントにIAMロール作成

まず、管理アカウントにIAMロールを作成し、メンバーアカウントのCustomOrganizationAccessRoleを引き受ける権限を付与します。

以下の操作は、AWS CloudShellを使用して実行します。

管理アカウントにAssumeMemberRoleというIAMロールを作成します。以下のAWS CLIコマンドを実行してください。

aws iam create-role --role-name AssumeMemberRole --assume-role-policy-document '{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ec2.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}'

次に、作成したロールに、メンバーアカウントのCustomOrganizationAccessRoleを引き受ける権限を付与します。CustomOrganizationAccessRoleについては、後述します。
以下のコマンドを実行してください。

aws iam put-role-policy --role-name AssumeMemberRole --policy-name AssumeMemberRolePolicy --policy-document '{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::*:role/CustomOrganizationAccessRole"
        }
    ]
}'

メンバーアカウントにIAMロール作成

次に、メンバーアカウントにIAMロールを作成します。
この作業は、管理アカウントからCloudFormation StackSetsを使用して、OU配下の全アカウントに一括で適用します。

以下のCloudFormationテンプレートを使用してください。

CustomOrganizationAccessRole.yaml
AWSTemplateFormatVersion: '2010-09-09'
Description: Create IAM Role for Access Analyzer management

Parameters:
  ManagementAccountId:
    Type: String
    Description: "The AWS Account ID of the management account"

Resources:
  CustomOrganizationAccessRole:
    Type: "AWS::IAM::Role"
    Properties:
      RoleName: "CustomOrganizationAccessRole"
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: "Allow"
            Principal:
              AWS: !Sub "arn:aws:iam::${ManagementAccountId}:root"
            Action: "sts:AssumeRole"
      Policies:
        - PolicyName: "AccessAnalyzerPolicy"
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: "Allow"
                Action:
                  - "access-analyzer:CreateAnalyzer"
                  - "access-analyzer:DeleteAnalyzer"
                  - "access-analyzer:ListAnalyzers"
                  - "ec2:DescribeRegions"
                Resource: "*"
  1. 管理アカウントのAWS マネジメントコンソールからCloudFormation StackSetsにアクセスし、上記のテンプレートをアップロードします。
    cm-hirai-screenshot 2024-09-30 15.27.21
  2. テンプレートのパラメータ設定画面で、「ManagementAccountId」に管理アカウントのAWSアカウントIDを入力します。
    cm-hirai-screenshot 2024-09-30 15.27.41
  3. その他の設定はデフォルトのまま、「次へ」をクリックして進みます。
    cm-hirai-screenshot 2024-09-30 15.28.40
  4. デプロイオプションの設定画面で、「アカウントを選択」ではなく「組織単位を選択」を選び、全メンバーアカウントを含むOUのOU IDを指定します。cm-hirai-screenshot 2024-09-30 15.29.42
  5. デプロイするリージョンとして、東京リージョン（ap-northeast-1）のみを選択します。メンバーアカウント数は２つなので、同時アカウントの最大数は2、障害耐性は1にします。
    cm-hirai-screenshot 2024-10-03 8.00.15
    これで各メンバーアカウントにスタックが作成されます。

管理アカウントでアナライザー削除

AWS CloudShellでjqコマンドラインツールをインストールします。以下のコマンドを実行してください。

sudo yum install -y jq

OU配下の全アカウントの全リージョンにおけるIAM Access Analyzerの存在を確認します。以下のコマンドを実行してください。
コマンド内のou-xxxx-xxxxxxxxを実際のOU IDに置き換えてください。

ou_id="ou-xxxx-xxxxxxxx" && \
role_name="CustomOrganizationAccessRole" && \
regions=$(aws ec2 describe-regions --query Regions[*].RegionName --output text) && \

get_all_account_ids() {
    local ou_id=$1
    local accounts=$(aws organizations list-accounts-for-parent --parent-id $ou_id --query 'Accounts[*].Id' --output text)
    local child_ous=$(aws organizations list-children --parent-id $ou_id --child-type ORGANIZATIONAL_UNIT --query 'Children[*].Id' --output text)
    echo $accounts
    for child_ou in $child_ous; do get_all_account_ids $child_ou; done
} && \

assume_role() {
    local account_id=$1
    local creds=$(aws sts assume-role --role-arn arn:aws:iam::$account_id:role/$role_name --role-session-name check-analyzer-session)
    export AWS_ACCESS_KEY_ID=$(echo $creds | jq -r '.Credentials.AccessKeyId')
    export AWS_SECRET_ACCESS_KEY=$(echo $creds | jq -r '.Credentials.SecretAccessKey')
    export AWS_SESSION_TOKEN=$(echo $creds | jq -r '.Credentials.SessionToken')
} && \

check_analyzers() {
    local region=$1
    local analyzers=$(aws accessanalyzer list-analyzers --region $region --query 'analyzers[*].{name:name,type:type}' --output json)
    if [ "$(echo $analyzers | jq length)" -gt 0 ]; then
        echo "$analyzers" | jq -r '.[] | "IAM Access Analyzer \"\(.name)\" (Type: \(.type)) exists in '"$region"' for account '"$account_id"'"'
    else
        echo "No IAM Access Analyzers exist in $region for account $account_id"
    fi
} && \

member_accounts=$(get_all_account_ids $ou_id) && \

for account_id in $member_accounts; do
    echo "Processing account: $account_id" && \
    assume_role $account_id && \

    for region in $regions; do
        check_analyzers $region
    done && \

    unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
done

//出力結果
Processing account: 012345678901
IAM Access Analyzer "cm-access-analyzer" (Type: ACCOUNT) exists in ap-south-1 for account 012345678901
IAM Access Analyzer "cm-access-analyzer" (Type: ACCOUNT) exists in eu-north-1 for account 012345678901
IAM Access Analyzer "cm-access-analyzer" (Type: ACCOUNT) exists in eu-west-3 for account 012345678901
~中略~
Processing account: 123456789012
IAM Access Analyzer "cm-access-analyzer" (Type: ACCOUNT) exists in ap-south-1 for account 123456789012
IAM Access Analyzer "cm-access-analyzer" (Type: ACCOUNT) exists in eu-north-1 for account 123456789012
IAM Access Analyzer "cm-access-analyzer" (Type: ACCOUNT) exists in eu-west-3 for account 123456789012

確認が完了したら、以下のコマンドを使用して、OU配下の全アカウントの全リージョンにあるcm-access-analyzerという名前のIAM Access Analyzerを削除します。
コマンド内のou-xxxx-xxxxxxxxを実際のOU IDに置き換えてください。

ou_id="ou-xxxx-xxxxxxxx" && \
role_name="CustomOrganizationAccessRole" && \
regions=$(aws ec2 describe-regions --query Regions[*].RegionName --output text) && \
analyzer_name='cm-access-analyzer' && \

get_all_account_ids() {
    local ou_id=$1
    local accounts=$(aws organizations list-accounts-for-parent --parent-id $ou_id --query 'Accounts[*].Id' --output text)
    local child_ous=$(aws organizations list-children --parent-id $ou_id --child-type ORGANIZATIONAL_UNIT --query 'Children[*].Id' --output text)
    echo $accounts
    for child_ou in $child_ous; do get_all_account_ids $child_ou; done
} && \

assume_role() {
    local account_id=$1
    local creds=$(aws sts assume-role --role-arn arn:aws:iam::$account_id:role/$role_name --role-session-name delete-analyzer-session)
    export AWS_ACCESS_KEY_ID=$(echo $creds | jq -r '.Credentials.AccessKeyId')
    export AWS_SECRET_ACCESS_KEY=$(echo $creds | jq -r '.Credentials.SecretAccessKey')
    export AWS_SESSION_TOKEN=$(echo $creds | jq -r '.Credentials.SessionToken')
} && \

delete_analyzer() {
    local region=$1
    if aws accessanalyzer delete-analyzer --analyzer-name $analyzer_name --region $region >/dev/null 2>&1; then
        echo "IAM Access Analyzer '$analyzer_name' deleted in $region for account $account_id"
    else
        echo "IAM Access Analyzer '$analyzer_name' not found or failed to delete in $region for account $account_id"
    fi
} && \

member_accounts=$(get_all_account_ids $ou_id) && \

for account_id in $member_accounts; do
    echo "Processing account: $account_id" && \
    assume_role $account_id && \

    for region in $regions; do
        delete_analyzer $region
    done && \

    unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
done

//出力結果
Processing account: 012345678901
IAM Access Analyzer 'cm-access-analyzer' deleted in ap-south-1 for account 012345678901
IAM Access Analyzer 'cm-access-analyzer' deleted in eu-north-1 for account 012345678901
IAM Access Analyzer 'cm-access-analyzer' deleted in eu-west-3 for account 012345678901
~省略~

コマンドが正常に実行されると、各アカウントの各リージョンでのAnalyzer削除結果が表示されます。すべての削除操作が成功したことを確認してください。先程の確認コマンドを再度実行してもよいです。

参考として、削除したAnalyzerを再作成する必要がある場合に備え、OU配下の全アカウントの全リージョンにIAM Access Analyzer cm-access-analyzerを作成するコマンドを以下に示します。

ou_id="ou-xxxx-xxxxxxxx" && \
role_name="CustomOrganizationAccessRole" && \
regions=$(aws ec2 describe-regions --query Regions[*].RegionName --output text) && \
analyzer_name="cm-access-analyzer" && \

get_all_account_ids() {
    local ou_id=$1
    local accounts=$(aws organizations list-accounts-for-parent --parent-id $ou_id --query 'Accounts[*].Id' --output text)
    local child_ous=$(aws organizations list-children --parent-id $ou_id --child-type ORGANIZATIONAL_UNIT --query 'Children[*].Id' --output text)
    echo $accounts
    for child_ou in $child_ous; do get_all_account_ids $child_ou; done
} && \

assume_role() {
    local account_id=$1
    local creds=$(aws sts assume-role --role-arn arn:aws:iam::$account_id:role/$role_name --role-session-name create-analyzer-session)
    export AWS_ACCESS_KEY_ID=$(echo $creds | jq -r '.Credentials.AccessKeyId')
    export AWS_SECRET_ACCESS_KEY=$(echo $creds | jq -r '.Credentials.SecretAccessKey')
    export AWS_SESSION_TOKEN=$(echo $creds | jq -r '.Credentials.SessionToken')
} && \

create_analyzer() {
    local region=$1
    if aws accessanalyzer create-analyzer --analyzer-name $analyzer_name --type ACCOUNT --region $region >/dev/null 2>&1; then
        echo "IAM Access Analyzer '$analyzer_name' created in $region for account $account_id"
    else
        echo "IAM Access Analyzer '$analyzer_name' already exists or failed to create in $region for account $account_id"
    fi
} && \

member_accounts=$(get_all_account_ids $ou_id) && \

for account_id in $member_accounts; do
    echo "Processing account: $account_id" && \
    assume_role $account_id && \

    for region in $regions; do
        create_analyzer $region
    done && \

    unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
done

//出力結果
Processing account: 012345678901
IAM Access Analyzer 'cm-access-analyzer' created in ap-south-1 for account 012345678901
IAM Access Analyzer 'cm-access-analyzer' created in eu-north-1 for account 012345678901
IAM Access Analyzer 'cm-access-analyzer' created in eu-west-3 for account 012345678901
~省略~

アカウントIDを指定する

特定のアカウントのみでAnalyzerを削除または作成する必要がある場合、OU IDの代わりにアカウントIDを直接指定できます。
以下に、アカウントIDを使用してAnalyzerを確認と削除および作成するコマンドを示します。

以下のコマンドを使用して、指定したアカウントの全リージョンのAnalyzerを確認します。

確認
member_accounts=("000000000000" "111111111111") && \
role_name="CustomOrganizationAccessRole" && \
regions=$(aws ec2 describe-regions --query Regions[*].RegionName --output text) && \

assume_role() {
    local account_id=$1
    local creds=$(aws sts assume-role --role-arn arn:aws:iam::$account_id:role/$role_name --role-session-name check-analyzer-session)
    export AWS_ACCESS_KEY_ID=$(echo $creds | jq -r '.Credentials.AccessKeyId')
    export AWS_SECRET_ACCESS_KEY=$(echo $creds | jq -r '.Credentials.SecretAccessKey')
    export AWS_SESSION_TOKEN=$(echo $creds | jq -r '.Credentials.SessionToken')
} && \

check_analyzers() {
    local region=$1
    local analyzers=$(aws accessanalyzer list-analyzers --region $region --query 'analyzers[*].{name:name,type:type}' --output json)
    if [ "$(echo $analyzers | jq length)" -gt 0 ]; then
        echo "$analyzers" | jq -r '.[] | "IAM Access Analyzer \"\(.name)\" (Type: \(.type)) exists in '"$region"' for account '"$account_id"'"'
    else
        echo "No IAM Access Analyzers exist in $region for account $account_id"
    fi
} && \

for account_id in "${member_accounts[@]}"; do
    echo "Processing account: $account_id" && \
    assume_role $account_id && \

    for region in $regions; do
        check_analyzers $region
    done && \

    unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
done

以下のコマンドを使用して、指定したアカウントの全リージョンのAnalyzerを削除します。

削除
analyzer_name='cm-access-analyzer' && \
member_accounts=("000000000000" "111111111111") && \
role_name="CustomOrganizationAccessRole" && \
regions=$(aws ec2 describe-regions --query Regions[*].RegionName --output text) && \

assume_role() {
    local account_id=$1
    local creds=$(aws sts assume-role --role-arn arn:aws:iam::$account_id:role/$role_name --role-session-name delete-analyzer-session)
    export AWS_ACCESS_KEY_ID=$(echo $creds | jq -r '.Credentials.AccessKeyId')
    export AWS_SECRET_ACCESS_KEY=$(echo $creds | jq -r '.Credentials.SecretAccessKey')
    export AWS_SESSION_TOKEN=$(echo $creds | jq -r '.Credentials.SessionToken')
} && \

delete_analyzer() {
    local region=$1
    if aws accessanalyzer delete-analyzer --analyzer-name $analyzer_name --region $region >/dev/null 2>&1; then
        echo "IAM Access Analyzer '$analyzer_name' deleted in $region for account $account_id"
    else
        echo "IAM Access Analyzer '$analyzer_name' not found or failed to delete in $region for account $account_id"
    fi
} && \

for account_id in "${member_accounts[@]}"; do
    echo "Processing account: $account_id" && \
    assume_role $account_id && \

    for region in $regions; do
        delete_analyzer $region
    done && \

    unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
done

削除したAnalyzerを再作成する必要がある場合、以下のコマンドを使用します。

作成
analyzer_name='cm-access-analyzer' && \
member_accounts=("000000000000" "111111111111") && \
role_name="CustomOrganizationAccessRole" && \
regions=$(aws ec2 describe-regions --query Regions[*].RegionName --output text) && \

assume_role() {
    local account_id=$1
    local creds=$(aws sts assume-role --role-arn arn:aws:iam::$account_id:role/$role_name --role-session-name create-analyzer-session)
    export AWS_ACCESS_KEY_ID=$(echo $creds | jq -r '.Credentials.AccessKeyId')
    export AWS_SECRET_ACCESS_KEY=$(echo $creds | jq -r '.Credentials.SecretAccessKey')
    export AWS_SESSION_TOKEN=$(echo $creds | jq -r '.Credentials.SessionToken')
} && \

create_analyzer() {
    local region=$1
    if aws accessanalyzer create-analyzer --analyzer-name $analyzer_name --type ACCOUNT --region $region >/dev/null 2>&1; then
        echo "IAM Access Analyzer '$analyzer_name' created in $region for account $account_id"
    else
        echo "IAM Access Analyzer '$analyzer_name' already exists or failed to create in $region for account $account_id"
    fi
} && \

for account_id in "${member_accounts[@]}"; do
    echo "Processing account: $account_id" && \
    assume_role $account_id && \

    for region in $regions; do
        create_analyzer $region
    done && \

    unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
done

今後発行されるメンバーアカウント

今後発行されるメンバーアカウントもアナライザーは作成された状態でアカウントを引き渡されます。

今後発行されるメンバーアカウントについても、アナライザーが作成された状態でアカウントが引き渡されます。

メンバーアカウント内で実行するため、CustomOrganizationAccessRoleは利用しません。

analyzer_name='cm-access-analyzer'
for r in $(aws ec2 describe-regions --query Regions[*].RegionName --output text)
do
    aws accessanalyzer delete-analyzer --analyzer-name $analyzer_name --region $r
    echo "Succeeded in delete IAM Access Analyzer@ $r"
done

作成する場合は以下のコマンドです。

analyzer_name='cm-access-analyzer'
for r in $(aws ec2 describe-regions --query Regions[*].RegionName --output text)
do
    aws accessanalyzer delete-analyzer --analyzer-name $analyzer_name --region $r
    echo "Succeeded in delete IAM Access Analyzer@ $r"
done

最後に

本記事では、AWS Organizations内の全メンバーアカウントにおける全リージョンのIAM Access Analyzerを一括で削除する方法について解説しました。

具体的には、以下の流れです。

  1. 管理アカウントでのIAMロールの作成
  2. CloudFormation StackSetsを使用した各メンバーアカウントでIAMロールを作成
  3. 一括削除のためのスクリプト実行

参考になれば幸いです。

参考

https://dev.classmethod.jp/articles/script-to-create-delete-all-regions-of-iam-access-analyzer/

Share this article

facebook logohatena logotwitter logo

関連記事

[アップデート] IAM Access Analyzer の未使用のアクセス分析でアカウント/タグを除外指定して検出範囲をカスタマイズ出来るようになりました

[アップデート] IAM Access Analyzer の未使用のアクセス分析でアカウント/タグを除外指定して検出範囲をカスタマイズ出来るようになりました

User avatar
いわさ
2024.11.18
Organizations環境におけるAWS Security Hubコントロール「[IAM.28]IAM Access Analyzer external access analyzer should be enabled」の動作と対応

Organizations環境におけるAWS Security Hubコントロール「[IAM.28]IAM Access Analyzer external access analyzer should be enabled」の動作と対応

User avatar
佐藤雅樹
2024.08.16
AWS IAM Access AnalyzerをSecurity Hubに統合時、各検出結果のタイプごとのSeverity(重要度)を教えてください

AWS IAM Access AnalyzerをSecurity Hubに統合時、各検出結果のタイプごとのSeverity(重要度)を教えてください

User avatar
平井裕二
2024.07.04
[オフライン世界最速？AWS re:Inforce 2024 re:Cap セミナー] 『IAM Access Analyzer のアップデートを語ります』というタイトルで登壇しました。#AWSreInforce

[オフライン世界最速？AWS re:Inforce 2024 re:Cap セミナー] 『IAM Access Analyzer のアップデートを語ります』というタイトルで登壇しました。#AWSreInforce

User avatar
平木佳介
2024.06.19
Classmethod's white logo
Facebook's logo
X's logo
YouTube's logo

© Classmethod, Inc. All rights reserved.