NLB/GWLB/CLBの作成を禁止するIAMポリシーを作ってみた

つくぼし

2022.08.30

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、つくぼし(tsukuboshi0755)です！

皆さんもご存じのElastic Load Balancing(以下ELB)ですが、ELBには現在ALB/NLB/GWLB/CLBの4種類が存在します。

この内、特定のアカウントでALBのみ作成を許可し、NLB/GWLB/CLBの作成を禁止したいという要望があり、対応するIAMポリシーを作ってみたので共有いたします！

結論

以下のIAMポリシーで実現可能です！

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "elasticloadbalancing:CreateLoadBalancer",
    "NotResource": [
      "arn:*:elasticloadbalancing:*:*:loadbalancer/app/*/*"
    ]
  }
}

経緯

当初は以下のように、Resource要素でarnを絞る事で、NLB/GWLB/CLBの作成を禁止しようと考えてました。

実際、NLB/GWLBだけであれば、以下のIAMポリシーでも作成を禁止する事が可能です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action":[
                "elasticloadbalancing:CreateLoadBalancer"
            ],
            "Resource": [ 
                "arn:*:elasticloadbalancing:*:*:loadbalancer/net/*/*",
                "arn:*:elasticloadbalancing:*:*:loadbalancer/gwy/*/*"
        }
    ]
}

なお、ELBのロードバランサー別のarn形式は以下の通りです。

しかし、同じくResourceにて、CLBのarnをarn:aws:elasticloadbalancing:*:*:loadbalancer/*という形式で絞ろうすると、ALB/NLB/GWLBのarnの形式と被ってしまいます。

そのため、Resource要素にELBのarnを指定する形式では、ALBを作成許可したままCLBの作成を禁止する事が困難な事に気づき、何か別の方法はないか模索し始めました。

実現方法

私の調査だけでは実現方法が見当たらず、社内の方々にも質問させて頂いた所、以下のようにNotResource要素を使用する方法を教えて頂きました。

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "elasticloadbalancing:CreateLoadBalancer",
    "NotResource": [
      "arn:*:elasticloadbalancing:*:*:loadbalancer/app/*/*"
    ]
  }
}

IAMポリシーでは、以下の通りResource要素の代わりとして、NotResource要素を指定可能です。

こちらのNotResourceにALBのarnを指定する事で、「原則ELBの作成を禁止するが、例外としてALBのみ作成を許可する」というポリシーを作る事ができます！

また今後ELBのアップデートで新たな種類のロードバランサーが追加されたとしても、ポリシーの修正なく新規追加されたロードバランサーも作成が禁止されます。

ただしDeny→NotResourceと二重否定のような形となっているため、Resource要素を用いる場合と比較して可読性が落ちるのは否めません。

NotResource要素を用いる場合は、対象のIAMポリシーの運用に注意しましょう。