SCPを使って特定のアクセス許可セットのみIAMユーザー作成を許可してみる

鈴木純

2022.03.15

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

今まで「アクセス権限セット」だったのが、いつの間にかドキュメントやコンソール上は「アクセス許可セット」になっていました。本ブログでは「アクセス許可セット」で統一しています。

アクセス許可セット - AWS Single Sign-On

実現したいこと

SCPで以下を実現したい場合、どんなSCPを作成する必要があるかを考えてみました。

特定のアクセス許可セットを割り当てているSSOユーザー(グループ)以外は、IAMユーザーに関わる操作をさせないようにしたい
IAMロールは作成できるようにしたい

マルチアカウント環境であれば、各アカウントへのログインはSSO経由に集約することが多いです。その場合に、利用者にはIAMユーザーを作成させずに、IAMロールのみを使用させたいというケースをSCPで実現できないかを試してみました。

具体的なAWS SSOの仕組みについては以下のブログがわかりやすいので、ぜひご一読ください。

別の解決方法としてPermissions boundaryを用いた方法もあります。

作成したSCPのポリシー

タイトルにはIAMユーザー作成を許可と書きましたが、指定したアクセス許可セット以外からのIAM ユーザーと IAM グループの作成、更新、削除を禁止しています。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyEditIAMUserAndGroup",
      "Effect": "Deny",
      "Action": [
        "iam:CreateUser",
        "iam:CreateLoginProfile",
        "iam:CreateAccessKey",
        "iam:UpdateUser",
        "iam:DeleteUser",
        "iam:CreateGroup",
        "iam:UpdateGroup",
        "iam:DeleteGroup",
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup",
        "iam:AttachUserPolicy",
        "iam:DetachUserPolicy",
        "iam:PutUserPolicy",
        "iam:DeleteUserPolicy",
        "iam:AttachGroupPolicy",
        "iam:DetachGroupPolicy",
        "iam:PutGroupPolicy",
        "iam:DeleteGroupPolicy"
      ],
      "Resource": "*",
      "Condition": {
        "ArnNotLike": {
          "aws:PrincipalArn": [
            "arn:aws:iam::*:role/aws-reserved/sso.amazonaws.com/ap-northeast-1/AWSReservedSSO_{アクセス許可セット名}_*"
          ]
        }
      }
    }
  ]
}

ここのConditionで制限している内容は、リクエストをおこなったプリンシパルのARNが指定したSSOのIAMロールのARNじゃなかったら拒否するという条件です。{アクセス許可セット名}は適宜作成しているアクセス許可セットに合わせて変更してください。

SSOからメンバーアカウントへログインする際に利用するIAMロールは、アクセス許可セットが元になっています。そのためメンバーアカウントに作成されるIAMロール名はAWSReservedSSO_(アクセス許可セット名)_(英字小文字と数字の組み合わせのランダムな文字列)となります。ランダムな文字列の部分をワイルドカードを使うことで除外対象としています。

参考：IAM JSON ポリシー要素: 条件演算子 - AWS Identity and Access Management