特定のIAM Identity CenterユーザーのみAssumeRoleできるIAMロールを作成する

鈴木純

2023.08.17

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

マルチアカウント環境ではIAM Identity Centerを使ってメンバーアカウントへログインすることが多いかと思います。今回は特定のIAM Identity CenterユーザーのみAssumeRoleできるIAMロールを作成してみました。

前提

この記事ではマルチアカウント環境を前提としているため、以下については既に有効化・作成されているものとして進めます。

Control Tower or Organizations
IAM Identity Center
- メンバーアカウントへログインできるIAM Identity Centerユーザー
- IAM Identity Centerユーザーが利用するアクセス許可セット

今回は以下２つのIAM Identity Centerユーザーを作成して、Administorator権限のアクセス許可セットでログインしています。

User-A
User-B

やってみる

AssumeRoleする条件として特定のIAMロールを指定したい場合は、Conditionでaws:useridを指定することで実現可能です。そのため、最初はuseridを取得してからIAMロールにその値を設定していきます。

SSO作成ロール(SSO-Oparator)のIDを取得

アクセス許可セットによって作成されたIAMロール(ここではSSO-Oparator)のIDを取得します。このIDを使いPrincipalのConditionに指定することで、後ほど作成するIAMロールへAssumeRoleできる範囲を制御することができます。

取得方法は、メンバーアカウントへログインしてアクセス許可セットのIAMロールを確認します。IAMロール名はAWSReservedSSO_${アクセス許可セット名}_ランダムな文字列の形式です。

IAMロール名が確認できたら、CloudShellで以下のコマンドを実行しましょう。${SSO_IAMロール名}を確認したロール名に置き換えてください。

$ aws iam get-role --role-name ${SSO_IAMロール名}

レスポンスとして以下のようなものが返ってきますので、RoleIdの値を控えておいてください。

{
    "Role": {
        "Path": "/aws-reserved/sso.amazonaws.com/ap-northeast-1/",
        "RoleName": "AWSReservedSSO_SSO-Operator_8024796f8153200d",
        "RoleId": "AROARSGOY76EQO3X62REY",
        "Arn": "arn:aws:iam::111111111111:role/aws-reserved/sso.amazonaws.com/ap-northeast-1/AWSReservedSSO_SSO-Operator_8024796f8153200d",
        "CreateDate": "2023-08-17T05:37:48+00:00",
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Principal": {
                        "Federated": "arn:aws:iam::111111111111:saml-provider/AWSSSO_aa8cddd91b0c9203_DO_NOT_DELETE"
                    },
                    "Action": [
                        "sts:AssumeRoleWithSAML",
                        "sts:TagSession"
                    ],
                    "Condition": {
                        "StringEquals": {
                            "SAML:aud": "https://signin.aws.amazon.com/saml"
                        }
                    }
                }
            ]
        },
        "MaxSessionDuration": 43200,
        "RoleLastUsed": {}
    }
}

IAMロールの作成

User-AのみがAssumeRoleできるIAMロールを作成します。IAMロールの作成権限を持ったロール等でメンバーアカウントへログインしてください。

IAMのコンソールからロールを開いて、ロールの作成をクリックします。

信頼されたエンティティはAWSアカウントを選択して次へ進みます。許可ポリシーはなんでも大丈夫です。今回はお試しなのでAdministratorAccessを選択しました。

IAMロール名にと説明をわかりやすいもので入力して作成してください。この画面ではJson形式で表示された信頼されたエンティティの編集ができないため、作成後に編集します。

Principalの編集

作成したIAMロールの詳細を開いて、信頼関係 > 信頼ポリシーを編集をクリックします。

空欄のConditionを以下のように書き換えてください。<RoleId>は最初に取得したアクセス許可セットのIAMロールID、<UserName>はIAM Identity Centerのユーザー名です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS-account-ID>:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
            "aws:userid": [
                "<RoleId>:<UserName>",
                ]
        }
        }
    }
  ]
}

実際に置き換えたらこんな感じになります。