EBSスナップショット/AMIのごみ箱保持ルールでリソースタイプ毎のIAM条件キーが使えるようになりました

#AWS IAM

#AWS

いわさ

2022.06.15

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

いわさです。

EBSスナップショットとAMIにはごみ箱機能があります。
ごみ箱機能には保持ルールが必要で、EBSスナップショットとAMIでそれぞれルールの管理は別となっています。
一方で、IAMポリシーでアクションを指定する際はrbin:*という共通アクションを用いる必要があります。

共通ルールを設定する程度であれば一括で制御しても良かったと思いますが、リソースタグを条件としてユーザーへ個別のルール設定を許可したい場合は、EBSスナップショットとAMIどちらも共通設定する必要がありました。

本日のアップデートで、ルールのリソースタイプがIAM条件キーで利用出来るようになりました。

これによって、EBSスナップショットとAMIのごみ箱ルールに対するアクションを個別に制御出来るようになります。

ごみ箱機能と保持ルール

ごみ箱機能はre:Invent 2021から登場した機能で、削除後に保持ルールに従って、指定された日数は削除されずにごみ箱に移動され、復元出来るようになる機能です。
本日時点ではEBSスナップショットとAMIが対応しています。

この機能はデフォルトでは無効です。
有効化するためには保持ルールを作成する必要があります。

この保持ルールはEBSスナップショットとAMIでそれぞれ設定が必要です。
保持設定のリソースタイプで、EBSスナップショットかAMIが選択することが出来ます。

IAM条件キー

一方で、IAMポリシーのアクションとしてはRecycle Binサービス内で、EBSスナップショットとAMIで共通のアクション設定となっています。

そのため、これまではEBSスナップショットの保持ルールの作成だけを許可するとか、AMIの保持ルールだけ閲覧出来ないようにするなど、リソースタイプに応じた細かい制御はできませんでした。

今回のアップデートで以下のように保持ルールのリソースタイプによるIAM条件キーが利用出来るようになりました。
rbin:Attribute/ResourceTypeとrbin:Request/ResourceTypeです。

ためしてみる

追加されたIAM条件キーを使って、EBSスナップショットとAMIのごみ箱保持ルールに対するポリシーを分けて設定してみます。

ルール作成

以下はEBSスナップショットへのごみ箱保持ルール作成・参照・削除は許可し、AMIへのごみ箱保持ルール作成・参照・削除は拒否するルールです。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rbin:ListTagsForResource",
                "rbin:DeleteRule",
                "rbin:TagResource",
                "rbin:UpdateRule",
                "rbin:UntagResource",
                "rbin:GetRule"
            ],
            "Resource": "arn:aws:rbin:*:123456789012:rule/*",
            "Condition": {
                "StringEquals": {
                    "rbin:Attribute/ResourceType": "EBS_SNAPSHOT"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "rbin:CreateRule",
            "Resource": "arn:aws:rbin:*:123456789012:rule/*",
            "Condition": {
                "StringEquals": {
                    "rbin:Request/ResourceType": "EBS_SNAPSHOT"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "rbin:ListRules",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "rbin:Request/ResourceType": "EBS_SNAPSHOT"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "rbin:ListTagsForResource",
                "rbin:DeleteRule",
                "rbin:TagResource",
                "rbin:UpdateRule",
                "rbin:UntagResource",
                "rbin:GetRule"
            ],
            "Resource": "arn:aws:rbin:*:123456789012:rule/*",
            "Condition": {
                "StringEquals": {
                    "rbin:Attribute/ResourceType": "EC2_IMAGE"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": "rbin:CreateRule",
            "Resource": "arn:aws:rbin:*:123456789012:rule/*",
            "Condition": {
                "StringEquals": {
                    "rbin:Request/ResourceType": "EC2_IMAGE"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": "rbin:ListRules",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "rbin:Request/ResourceType": "EC2_IMAGE"
                }
            }
        }
    ]
}

EBSスナップショットのごみ箱保持ルールは作成出来ました。