![[小ネタ] カスタマー管理ポリシーに設定するアクションがわからない。そんなときは](https://devio2023-media.developers.io/wp-content/uploads/2019/05/aws-iam.png)
[小ネタ] カスタマー管理ポリシーに設定するアクションがわからない。そんなときは
先日、AWS Transfer for SFTPを管理するためのユーザー（それ以外は操作不可）を作成する機会があり、そのためのポリシー設定（アクション）ってどうするんだっけ？と一瞬戸惑いました。
そんな方向けの小ネタです。
※AWS Transfer for SFTPに対する権限管理というよりは、適切なアクションを探すにはどうしたら良いか？という記事になります。
IAMを理解できている方はこれを見るだけでOK
そもそもIAMユーザー(やIAMグループ、IAMロール)の権限管理ってどうする？？
IAMユーザー(やIAMグループ、IAMロール)にはポリシーをアタッチすることで権限を制御します。 ポリシーの種類は以下の3つです。
- AWS管理ポリシー
- カスタマー管理ポリシー
- インラインポリシー
AWS管理ポリシー
AWS管理ポリシーはAWSが用意している再利用可能なポリシーです。複数のIAMユーザー(やIAMグループ、IAMロール)間で共有可能です。 代表的なところでいうと
- AmazonS3FullAccess
- AmazonS3ReadOnlyAccess
などがあります。
タイプ：AWS による管理となっているものがAWS管理ポリシーです。
カスタマー管理ポリシー
カスタマー管理ポリシーはユーザーが作成できる再利用可能なポリシーです。複数のIAMユーザー(やIAMグループ、IAMロール)間で共有可能です。AWS管理ポリシーに最適なものがない場合はカスタマー管理ポリシーを作成することになります。
例えば、特定のS3バケットに対してのみ権限を与えたい場合はカスタマー管理ポリシーを作成します。
インラインポリシー
インラインポリシーはIAMユーザー(やIAMグループ、IAMロール)と1 対 1 の関係で作成するポリシーです。複数のIAMユーザー(やIAMグループ、IAMロール)間で共有することはできません。
多くの場合は、AWS管理ポリシー、カスタマー管理ポリシーを利用しIAMユーザー(やIAMグループ、IAMロール)の権限を制御します。
カスタマー管理ポリシーに設定するアクションがわからない
例えば、AmazonS3ReadOnlyAccessのActionは以下のようになっています。
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:Get*",
"s3:List*"
],
"Resource": "*"
}
]
}
ここのAction、AWS Transfer for SFTPのみ操作可としたい場合はどう設定すれば良いでしょうか？？
答えは、ここにありました。
各サービス毎のActionが定義されています。
AWS Transfer for SFTPに対するActionも定義されており、サービスのprefixはtransferであり、CreateServerやCreateUserなどのActionがあることが理解できます。
AWS Transfer for SFTP (service prefix: transfer) provides the following service-specific resources, actions, and condition context keys for use in IAM permission policies.
なので、AWS Transfer for SFTPのみ操作可としたい場合は
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"transfer:*"
],
"Resource": "*"
}
]
}
のポリシーを作成し対象のユーザーにアタッチすればOKです。
今回は作成済みのAWS Transfer for SFTPに対する全てのアクションを可能にするためIAMPassRoleAccessと、AmazonS3FullAccessのポリシーも合わせて対象のユーザーにアタッチしました。
さいごに
カスタマー管理ポリシーのアクションに関する小ネタでした。誰かのお役に立てば幸いです。
