[アップデート] 「最小権限の実装」が容易に！過去の CloudTrail イベントに基づいて IAM ポリシーを生成できるようになりました

「とりあえず過去に行った操作が実現できる権限をくれ」というリクエストに（比較的）簡単に答えられるようになりました。 IAM Access Analyzer が 7分でやってくれました。

#IAM Access Analyzer

#AWS IAM

#AWS

千葉幸宏（チバユキ）

2021.04.08

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

コンバンハ、千葉（幸）です。

IAM Access Analyzer により、過去のアクティビティイベントに基づいて IAM ポリシーの生成ができるようになりました！

「必要最小限の権限に絞る」というアプローチが取りやすくなりましたね。

激アツアップデートなので冗長構成で記事を書いています。（平たく言うと被った。）あわせてご参照ください。

何が嬉しいのか

「今はユーザーに広めの権限を与えているけど、必要な権限のみを与えるように絞っていきたいなぁ」

「必要な権限ってなんだろう。洗い出すのが難しいな」

「過去 30 日間で一通り必要な操作はしたから、それができれば十分だな」

「実際の操作を洗い出してそのままポリシーにしてくれたりしたらいいのに」

はい、それができるようになりました。

「最小権限の実装」は、 AWS を使用する上で遵守すべきベストプラクティスです。小さな権限から始めて徐々に必要な権限を付け足していく、というアプローチもあれば、広めに与えてから絞っていく、というアプローチもあります。どんなアプローチでも、ポリシーの精査やチューニングにはそれなりの労力が発生するものでした。

今回のアップデートにより、以下のようなケースでのチューニングが簡単に行えるようになりました。

開発環境（あるいは開発「期間」）では広めに権限を与えている
開発環境では一通り必要な操作を実行している
本番環境に移行する際に、必要最小限の権限に絞る必要がある

Trail に記録された過去のイベントから必要な権限を持つポリシーのテンプレートを生成してくれるため、それをカスタマイズして使うことができます。

ありがとうございます……！

全体イメージ

アクセスアクティビティに基づいたポリシー生成について補足事項

以下ページに各種情報がまとまっています。

Generate policies based on access activity - AWS Identity and Access Management

「知っておきべきこと」として以下が挙げられています。

Cloud Trail が有効になっていることが前提
ポリシーを生成する IAM エンティティ（ユーザー/ロール）と同じアカウントで Trail を有効にすること
- クロスアカウントは不可
ポリシー生成の時間を短縮するためには分析する期間を短めにすること
監査目的でポリシー生成を使用してはならない
- 過去のアクティビティに基づいてポリシーが生成されるからといって、すべてが網羅されるわけではありません
ポリシーを生成できるのは IAM Console で一つまで
- 複数の IAM エンティティに対するポリシー生成を同時には実行できません
生成されたポリシー（テンプレート）はコンソールで最大 7日間確認可能
クォータについては以下参照のこと
- IAM and STS quotas - AWS Identity and Access Management
- 分析できる Trail の期間は最大 90日分
- 1日に生成できるポリシーは5つまで　など

その他、個人的に以下を付け足しておきます。

IAM Access Analyzer 用のサービスロールの設定が必要
- 初回実行時に自動作成可能
IAM Access Analyzer アナライザーの作成は不要
アクションレベルまで洗い出してくれるサービスとそうでないサービスがある

まぁいろいろ書きましたが、無料ですからね、とりあえず使っちゃえばいいんですよ。

やってみた

特定の IAM ロールに対しポリシー（テンプレート）の生成を行い、それを基に実際のポリシーを作成・アタッチしてみます。

大まかに以下の流れとなります。

対象の IAM ユーザー/ロールの画面からポリシー生成リクエストを実行
- 遡る期間や、ベースにする Trail 証跡を選択
- 初回は Access Analyzer 用のサービスロールをセットアップ
生成されたポリシーから実際のポリシーを作成
- 権限の確認
- 必要に応じてポリシーの修正
- 作成およびアタッチ

ポリシーの生成リクエストの実行

IAM ロールの詳細画面の中に、CloudTrail イベントに基づいてポリシーを生成の項目が追加されています。

IAM_Management_Console

展開し、「ポリシーの生成」を押下します。

IAM_Management_Console-7838376

以下項目を指定し、「ポリシーを生成」を押下します。

期間の指定
分析対象の CloudTrail 証跡
使用するサービスロール

IAM_Management_Console-7838497

今回は初回のため、新しいサービスロールがあわせて作成されます。次の画面に遷移する前に、ロール作成が進行中であることが表されます。

IAM_Management_Console-7838541

ちなみにロールにアタッチされるポリシーは以下の通りです。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "cloudtrail:GetTrail",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GenerateServiceLastAccessedDetails",
                "iam:GetServiceLastAccessedDetails"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::{{cloudtrail-bucket}}",
                "arn:aws:s3:::{{cloudtrail-bucket}}/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:{{region}}:{{account}}:key/{{key}}"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": "s3.*.amazonaws.com"
                }
            }
        }
    ]
}

ロールの詳細画面に戻ると、ポリシー生成が進行中である旨が表示されています。

IAM_Management_Console-7838585