[アップデート] Amazon EFS ファイルシステム作成時に暗号化を強制する IAM 条件キーが追加されました！

Amazon EFS ファイルシステム作成時の暗号化を強制できるようになりました。統制を効かせたい時にどうぞ。

#AWS IAM

#Amazon EFS

#AWS

千葉幸宏（チバユキ）

2020.09.17

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

コンバンハ、千葉（幸）です。

Amazon EFS のファイルシステムを暗号化なしで作成することを、 IAM 条件キーを使用して制限できるようになりました！

Enforce encryption for Amazon Elastic File System resources using AWS IAM

暗号化必須の環境では、システム的に制限できるのは嬉しいですね。

何が変わったのか

Amazon EFS では、保管中のデータを AWS KMS を利用して暗号化できます。

暗号化の有無はファイルシステムの作成時にのみ設定可能で、作成後に変更することはできません。今回のアップデートにより、作成時にこの暗号化を強制できるようになりました。

なお、クライアントとファイルシステム間で転送中のデータの暗号化についてはマウントヘルパーで設定するものであり、今回のアップデートとは直接関係しません。

転送中のデータの暗号化 - Amazon Elastic File System

追加された条件キーと使用できるアクション

通常、こういったアップデートがあった際には以下のドキュメントを参照して確認しているのですが、現時点ではまだ反映されていません。

Actions, resources, and condition keys for Amazon Elastic File System - AWS Identity and Access Management

そのため、今回はマネジメントコンソールより IAM ポリシーのビジュアルエディタの画面で確認を行いました。

以下が確認できました。

今回追加された条件キー：elasticfilesystem:Encrypted
使用できるアクション：elasticfilesystem:CreateFileSystem

ビジュアルエディタの活用方法は、以下エントリをご参照ください。

やってみた

今回はまず以下の IAM ポリシーを作成しました。暗号化が無効であればファイルシステム作成を拒否する、というだけのルールです。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Deny",
            "Action": "elasticfilesystem:CreateFileSystem",
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "elasticfilesystem:Encrypted": "false"
                }
            }
        }
    ]
}

このポリシーと AdministratorAccessをアタッチした IAM ロールを用いて操作を行います。