AWS CloudFormation StackSetsを利用してPermissions boundary用IAMポリシーを複数アカウントで作成してみる

yhana

2022.09.08

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

マルチアカウント環境で Permissions boundary (アクセス許可の境界) を利用する場合において、事前に Permissions boundary としてアタッチするための IAM ポリシーを各 AWS アカウントで作成しておきたい場合があります。

本ブログでは、AWS CloudFormation StackSets を利用して複数の AWS アカウントに IAM ポリシーを作成する方法を試してみます。

Permissions boundary の利用例は次のブログで紹介しています。

AWS CloudFormation StackSets については次のブログが参考になります。

作成する IAM ポリシー

AWS ナレッジセンターで紹介されている Permissions boundary 用の IAM ポリシーを作成してみたいと思います。

2023.2.27 追記
参照していた AWS ナレッジセンターのページは削除されていることを確認しました

作成するポリシーです。AccountIDには IAM ポリシーを作成する AWS アカウントのアカウント ID を指定する必要があります。

test-permissions-boundary-policy

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAdminAccess",
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
    },
    {
      "Sid": "DenyAccessToCostAndBilling",
      "Effect": "Deny",
      "Action": [
        "account:*",
        "aws-portal:*",
        "savingsplans:*",
        "cur:*",
        "ce:*"
    ],
    "Resource": "*"
   },
   {
     "Sid": "DenyPermBoundaryIAMPolicyAlteration",
     "Effect": "Deny",
     "Action": [
       "iam:DeletePolicy",
       "iam:DeletePolicyVersion",
       "iam:CreatePolicyVersion",
       "iam:SetDefaultPolicyVersion"
   ],
   "Resource": [
     "arn:aws:iam::<AccountID>:policy/test-permissions-boundary-policy"
   ]
  },
  {
    "Sid": "DenyRemovalOfPermBoundaryFromAnyUserOrRole",
    "Effect": "Deny",
    "Action": [
      "iam:DeleteUserPermissionsBoundary",
      "iam:DeleteRolePermissionsBoundary"
   ],
   "Resource": [
     "arn:aws:iam::<AccountID>:user/*",
     "arn:aws:iam::<AccountID>:role/*"
   ],
   "Condition": {
     "StringEquals": {
       "iam:PermissionsBoundary": "arn:aws:iam::<AccountID>:policy/test-permissions-boundary-policy"
     }
    }
   },
   {
     "Sid": "DenyAccessIfRequiredPermBoundaryIsNotBeingApplied",
     "Effect": "Deny",
     "Action": [
     "iam:PutUserPermissionsBoundary",
     "iam:PutRolePermissionsBoundary"
   ],
   "Resource": [
     "arn:aws:iam::<AccountID>:user/*",
     "arn:aws:iam::<AccountID>:role/*"
   ],
   "Condition": {
     "StringNotEquals": {
       "iam:PermissionsBoundary": "arn:aws:iam::<AccountID>:policy/test-permissions-boundary-policy"
     }
    }
  },
  {
    "Sid": "DenyUserAndRoleCreationWithOutPermBoundary",
    "Effect": "Deny",
    "Action": [
      "iam:CreateUser",
      "iam:CreateRole"
  ],
  "Resource": [
    "arn:aws:iam::<AccountID>:user/*",
    "arn:aws:iam::<AccountID>:role/*"
  ],
  "Condition": {
    "StringNotEquals": {
      "iam:PermissionsBoundary": "arn:aws:iam::<AccountID>:policy/test-permissions-boundary-policy"
    }
   }
 },
 {
   "Sid": "DenyIAMActions",
   "Effect": "Deny",
   "Action": "iam:PassRole",
   "Resource": "arn:aws:iam::<AccountID>:role/*"
  }
 ]
}

CloudFormation テンプレート

作成するポリシーにおいて、ポイントになる部分は``です。CloudFormation テンプレートでリソースを作成するアカウント毎に値を変える必要があります。その解決策として疑似パラメータ参照が利用できます。

擬似パラメータ参照 - AWS CloudFormation

疑似パラメータ参照を利用して、上述の IAM ポリシーを作成する CloudFormation テンプレートの例を示します。

AWSTemplateFormatVersion: 2010-09-09
Description: Create IAM Policy for Permissions boundary

Parameters:
  ManagedPolicyName:
    Description: Managed policy name for permissions boundary
    Type: String

Resources:
  IamManagedPolicy:
    Type: AWS::IAM::ManagedPolicy
    Properties:
      Description: Managed policy for permissions boundary
      ManagedPolicyName: !Sub ${ManagedPolicyName}
      Path: /
      PolicyDocument:
        Version: 2012-10-17
        Statement:
        - Sid: AllowAdminAccess
          Effect: Allow
          Action: '*'
          Resource: '*'
        - Sid: DenyAccessToCostAndBilling
          Effect: Deny
          Action:
          - 'account:*'
          - 'aws-portal:*'
          - 'savingsplans:*'
          - 'cur:*'
          - 'ce:*'
          Resource: '*'
        - Sid: DenyPermBoundaryIAMPolicyAlteration
          Effect: Deny
          Action:
          - 'iam:DeletePolicy'
          - 'iam:DeletePolicyVersion'
          - 'iam:CreatePolicyVersion'
          - 'iam:SetDefaultPolicyVersion'
          Resource: !Sub arn:aws:iam::${AWS::AccountId}:policy/${ManagedPolicyName}
        - Sid: DenyRemovalOfPermBoundaryFromAnyUserOrRole
          Effect: Deny
          Action:
          - 'iam:DeleteUserPermissionsBoundary'
          - 'iam:DeleteRolePermissionsBoundary'
          Resource:
          - !Sub arn:aws:iam::${AWS::AccountId}:user/*
          - !Sub arn:aws:iam::${AWS::AccountId}:role/*
          Condition:
            StringEquals:
              iam:PermissionsBoundary: !Sub arn:aws:iam::${AWS::AccountId}:policy/${ManagedPolicyName}
        - Sid: DenyAccessIfRequiredPermBoundaryIsNotBeingApplied
          Effect: Deny
          Action:
          - 'iam:PutUserPermissionsBoundary'
          - 'iam:PutRolePermissionsBoundary'
          Resource:
          - !Sub arn:aws:iam::${AWS::AccountId}:user/*
          - !Sub arn:aws:iam::${AWS::AccountId}:role/*
          Condition:
            StringNotEquals:
              iam:PermissionsBoundary: !Sub arn:aws:iam::${AWS::AccountId}:policy/${ManagedPolicyName}
        - Sid: DenyUserAndRoleCreationWithOutPermBoundary
          Effect: Deny
          Action:
          - 'iam:CreateUser'
          - 'iam:CreateRole'
          Resource:
          - !Sub arn:aws:iam::${AWS::AccountId}:user/*
          - !Sub arn:aws:iam::${AWS::AccountId}:role/*
          Condition:
            StringNotEquals:
              iam:PermissionsBoundary: !Sub arn:aws:iam::${AWS::AccountId}:policy/${ManagedPolicyName}
        - Sid: DenyIAMActions
          Effect: Deny
          Action: 'iam:PassRole'
          Resource: !Sub arn:aws:iam::${AWS::AccountId}:role/*

テンプレートでは IAM ポリシー名をパラメータとして指定できるようにしています。

ポリシーを定義する PolicyDocument では疑似パラメータ参照である${AWS::AccountId}を利用してアカウント ID を記載しています。

CloudFormation StackSets でリソース作成

StackSets で複数のアカウントにリソースを作成してみます。

StackSets を利用するためには事前準備が必要です。

AWS Organizations を利用している環境の場合は、次のブログの「(準備) アクセスの有効化」を参考に、AWS CloudFormation StackSets の「アクセスの有効化」を行います。

AWS Organizations を利用していない環境の場合は、次のブログの「事前準備」を参考に StackStes を実行する管理アカウントと実行されるアカウントのそれぞれに対して事前に IAM ロールを作成します。

本ブログでは AWS Organizations を利用している環境で StackSets を展開してみます。

CloudFormation の StackSets メニューにおける「StackSets の作成」から設定を行います。AWS Organizations でアクセスの有効化をしているため「サービスマネージドアクセス許可」を選択し、今回はテンプレートファイルをアップロードします。

StackSets 名とパラメータを入力します。パラメータは作成する IAM ポリシー名を入力します。

今回は、オプションはデフォルト設定のまま進めます。

デプロイは 2 つのアカウントが存在する OU を指定しています。「同時アカウントの最大数」は OU に存在するアカウント数に合わせて 2 としています。

最後にレビューを行い、実行します。

2 つのアカウントに展開されました。

2 つのアカウントで作成されたポリシーを確認してみます。

アカウント ID は例示の値に置換していますが、アカウント毎にアカウント ID が異なるポリシーの作成を確認できました。表示が長いので折りたたんでいます。

アカウント 111122223333 の test-permissions-boundary-policy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "*",
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAdminAccess"
        },
        {
            "Action": [
                "account:*",
                "aws-portal:*",
                "savingsplans:*",
                "cur:*",
                "ce:*"
            ],
            "Resource": "*",
            "Effect": "Deny",
            "Sid": "DenyAccessToCostAndBilling"
        },
        {
            "Action": [
                "iam:DeletePolicy",
                "iam:DeletePolicyVersion",
                "iam:CreatePolicyVersion",
                "iam:SetDefaultPolicyVersion"
            ],
            "Resource": "arn:aws:iam::111122223333:policy/test-permissions-boundary-policy",
            "Effect": "Deny",
            "Sid": "DenyPermBoundaryIAMPolicyAlteration"
        },
        {
            "Condition": {
                "StringEquals": {
                    "iam:PermissionsBoundary": "arn:aws:iam::111122223333:policy/test-permissions-boundary-policy"
                }
            },
            "Action": [
                "iam:DeleteUserPermissionsBoundary",
                "iam:DeleteRolePermissionsBoundary"
            ],
            "Resource": [
                "arn:aws:iam::111122223333:user/*",
                "arn:aws:iam::111122223333:role/*"
            ],
            "Effect": "Deny",
            "Sid": "DenyRemovalOfPermBoundaryFromAnyUserOrRole"
        },
        {
            "Condition": {
                "StringNotEquals": {
                    "iam:PermissionsBoundary": "arn:aws:iam::111122223333:policy/test-permissions-boundary-policy"
                }
            },
            "Action": [
                "iam:PutUserPermissionsBoundary",
                "iam:PutRolePermissionsBoundary"
            ],
            "Resource": [
                "arn:aws:iam::111122223333:user/*",
                "arn:aws:iam::111122223333:role/*"
            ],
            "Effect": "Deny",
            "Sid": "DenyAccessIfRequiredPermBoundaryIsNotBeingApplied"
        },
        {
            "Condition": {
                "StringNotEquals": {
                    "iam:PermissionsBoundary": "arn:aws:iam::111122223333:policy/test-permissions-boundary-policy"
                }
            },
            "Action": [
                "iam:CreateUser",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::111122223333:user/*",
                "arn:aws:iam::111122223333:role/*"
            ],
            "Effect": "Deny",
            "Sid": "DenyUserAndRoleCreationWithOutPermBoundary"
        },
        {
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::111122223333:role/*",
            "Effect": "Deny",
            "Sid": "DenyIAMActions"
        }
    ]
}

アカウント 444455556666 の test-permissions-boundary-policy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "*",
            "Resource": "*",
            "Effect": "Allow",
            "Sid": "AllowAdminAccess"
        },
        {
            "Action": [
                "account:*",
                "aws-portal:*",
                "savingsplans:*",
                "cur:*",
                "ce:*"
            ],
            "Resource": "*",
            "Effect": "Deny",
            "Sid": "DenyAccessToCostAndBilling"
        },
        {
            "Action": [
                "iam:DeletePolicy",
                "iam:DeletePolicyVersion",
                "iam:CreatePolicyVersion",
                "iam:SetDefaultPolicyVersion"
            ],
            "Resource": "arn:aws:iam::444455556666:policy/test-permissions-boundary-policy",
            "Effect": "Deny",
            "Sid": "DenyPermBoundaryIAMPolicyAlteration"
        },
        {
            "Condition": {
                "StringEquals": {
                    "iam:PermissionsBoundary": "arn:aws:iam::444455556666:policy/test-permissions-boundary-policy"
                }
            },
            "Action": [
                "iam:DeleteUserPermissionsBoundary",
                "iam:DeleteRolePermissionsBoundary"
            ],
            "Resource": [
                "arn:aws:iam::444455556666:user/*",
                "arn:aws:iam::444455556666:role/*"
            ],
            "Effect": "Deny",
            "Sid": "DenyRemovalOfPermBoundaryFromAnyUserOrRole"
        },
        {
            "Condition": {
                "StringNotEquals": {
                    "iam:PermissionsBoundary": "arn:aws:iam::444455556666:policy/test-permissions-boundary-policy"
                }
            },
            "Action": [
                "iam:PutUserPermissionsBoundary",
                "iam:PutRolePermissionsBoundary"
            ],
            "Resource": [
                "arn:aws:iam::444455556666:user/*",
                "arn:aws:iam::444455556666:role/*"
            ],
            "Effect": "Deny",
            "Sid": "DenyAccessIfRequiredPermBoundaryIsNotBeingApplied"
        },
        {
            "Condition": {
                "StringNotEquals": {
                    "iam:PermissionsBoundary": "arn:aws:iam::444455556666:policy/test-permissions-boundary-policy"
                }
            },
            "Action": [
                "iam:CreateUser",
                "iam:CreateRole"
            ],
            "Resource": [
                "arn:aws:iam::444455556666:user/*",
                "arn:aws:iam::444455556666:role/*"
            ],
            "Effect": "Deny",
            "Sid": "DenyUserAndRoleCreationWithOutPermBoundary"
        },
        {
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::444455556666:role/*",
            "Effect": "Deny",
            "Sid": "DenyIAMActions"
        }
    ]
}

diffコマンドで 2　つのポリシーを比較してみるとアカウント ID に違いがあることが分かります。

% diff 111122223333.json 444455556666.json
29c29
<             "Resource": "arn:aws:iam::111122223333:policy/test-permissions-boundary-policy",
---
>             "Resource": "arn:aws:iam::444455556666:policy/test-permissions-boundary-policy",
36c36
<                     "iam:PermissionsBoundary": "arn:aws:iam::111122223333:policy/test-permissions-boundary-policy"
---
>                     "iam:PermissionsBoundary": "arn:aws:iam::444455556666:policy/test-permissions-boundary-policy"
44,45c44,45
<                 "arn:aws:iam::111122223333:user/*",
<                 "arn:aws:iam::111122223333:role/*"
---
>                 "arn:aws:iam::444455556666:user/*",
>                 "arn:aws:iam::444455556666:role/*"
53c53
<                     "iam:PermissionsBoundary": "arn:aws:iam::111122223333:policy/test-permissions-boundary-policy"
---
>                     "iam:PermissionsBoundary": "arn:aws:iam::444455556666:policy/test-permissions-boundary-policy"
61,62c61,62
<                 "arn:aws:iam::111122223333:user/*",
<                 "arn:aws:iam::111122223333:role/*"
---
>                 "arn:aws:iam::444455556666:user/*",
>                 "arn:aws:iam::444455556666:role/*"
70c70
<                     "iam:PermissionsBoundary": "arn:aws:iam::111122223333:policy/test-permissions-boundary-policy"
---
>                     "iam:PermissionsBoundary": "arn:aws:iam::444455556666:policy/test-permissions-boundary-policy"
78,79c78,79
<                 "arn:aws:iam::111122223333:user/*",
<                 "arn:aws:iam::111122223333:role/*"
---
>                 "arn:aws:iam::444455556666:user/*",
>                 "arn:aws:iam::444455556666:role/*"
86c86
<             "Resource": "arn:aws:iam::111122223333:role/*",
---
>             "Resource": "arn:aws:iam::444455556666:role/*",

さいごに

Permissions boundary としてアタッチするための IAM ポリシーを AWS CloudFormation StackSets を利用して複数の AWS アカウントに作成する方法を試してみました。

他の用途として、AWS IAM Identity Center でアタッチする IAM ポリシーを各アカウントで作成する場合にも利用できるかもしれません。

以上、このブログがどなたかのご参考になれば幸いです。

AWS CloudFormation StackSetsを利用してPermissions boundary用IAMポリシーを複数アカウントで作成してみる

作成する IAM ポリシー

CloudFormation テンプレート

CloudFormation StackSets でリソース作成

さいごに

イベント

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会〜AWS / システムアーキテクト案件特集〜を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【4/25（木）リモート】Google Cloudに携わるエンジニアのキャリア～クラスメソッド会社説明会～

EVENT【4/30（火）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/9（木）】組織的なクラウド統制はじめの一歩

AWS CloudFormation StackSetsを利用してPermissions boundary用IAMポリシーを複数アカウントで作成してみる

作成する IAM ポリシー

CloudFormation テンプレート

CloudFormation StackSets でリソース作成

さいごに

イベント

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会 〜AWS / システムアーキテクト案件特集〜 を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金） 名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【4/25（木）リモート】Google Cloudに携わるエンジニアのキャリア～クラスメソッド会社説明会～

EVENT【4/30（火）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/9（木）】組織的なクラウド統制 はじめの一歩

関連記事

S3 バケットのライフサイクル設定による確認・追加・削除アクションを拒否するときの対処方法について

IAM User에게 보안 그룹 생성과 EC2 인스턴스의 보안 그룹을 교체할 수 있는 권한을 할당해 보기

aws:ViaAWSService を利用して、サービス経由のリクエストに対して拒否しないよう条件を緩和できるかやってみた

[AWS Technical Support Note] วิธีตั้งค่าการเข้าถึงบริการของ AWS ด้วยการจำกัดการเข้าถึงด้วยเงื่อนไขที่กำหนดโดยใช้ IAM policy

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会〜AWS / システムアーキテクト案件特集〜を開催します

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【5/9（木）】組織的なクラウド統制はじめの一歩