Developers.IO 2017セッション「Ansibleハンズオン on AWS 」で利用したIAMの設定 #cmdevio2017

Developers.IO 2017

#イベント

いわもん

2017.07.06

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、いわもんです、ご無沙汰しております。

さて、先日は [DevelopresIO 2017]に多くの方にご参加頂きありがとうございました。当日は私も「Ansibleハンズオン on AWS」のお手伝い（TA）に立たせていただいておりました。

Ansibleハンズオン on AWS

当日の様子や、資料は下記をご覧ください。

Ansibleハンズオン on AWS #cmdevio2017

Developers.IO 2017セッション「Ansibleハンズオン on AWS 」をお手伝いしました #cmdevio2017

IAMの設定

「Ansibleハンズオン on AWS」では、弊社からハンズオン用のAWSアカウントを参加者の方に用意させて頂きましたが、念のため制限をかけました。その際のIAMの設定をご覧ください。

やりたい事

EC2以外のサービスは利用できない
起動できるインスタンスはt2.small/t2.microのみ
EC22へインスタンスプロファイルの割り当てを行いたい

実施内容は以下の通りでした。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "ec2:*",
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "ec2:RunInstances",
            "Condition": {
                "StringNotEquals": {
                    "ec2:InstanceType": [
                        "t2.micro",
                        "t2.small"
                    ]
                }
            },
            "Resource": "arn:aws:ec2:*:XXXXXXXXXXX:instance/*"
        },
        {
            "Effect": "Deny",
            "Action": "elasticloadbalancing:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "cloudwatch:*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "autoscaling:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:Get*",
                "iam:List*",
                "iam:PassRole"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "*"
        }
    ]
}

解説

EC2以外のサービスは利用できない

"Action": "ec2:*"とする事で、EC2のみ操作が可能となります。

        {
            "Action": "ec2:*",
            "Effect": "Allow",
            "Resource": "*"
        },

起動できるインスタンスは`t2.small`/`t2.micro`のみ

特定インスタンスタイプのEC2インスタンスが起動できないIAMユーザーを作成する

参考URLでは特定のインスタンス以外を起動するとなっています。
StringEqualsをStringNotEqualsとする事で、インスタンスタイプの指定が行えます。
StringNotEqualsにて指定するには、別途Resourceの指定が必要です
"Resource": "arn:aws:ec2:*:XXXXXXXXXX:instance/*"の指定を行いました。

        {
            "Effect": "Deny",
            "Action": "ec2:RunInstances",
            "Condition": {
                "StringNotEquals": {
                    "ec2:InstanceType": [
                        "t2.micro",
                        "t2.small"
                    ]
                }
            },
            "Resource": "arn:aws:ec2:*:XXXXXXXXXX:instance/*"
        },

EC2インスタンスへのIAMRoleの割り当てを行いたい

【Tips】Admin権限を持っていないIAMユーザでIAM Roleを設定するためのポリシー設定

上記を参考に実施しました。

        {
            "Effect": "Allow",
            "Action": [
                "iam:Get*",
                "iam:List*",
                "iam:PassRole"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "*"
        }