SMSによるログインMFA(2段階認証)を行なう際のIAMポリシー設定

#AWS IAM

#AWS

しんや

2016.02.03

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

小ネタです。

昨年11月にプレビュー版機能としてリリースされた『IAMユーザー向けSMS MFA』について、手元の環境でもその挙動を試してみたところ、対象ユーザーのIAMポリシー設定に関する部分で若干の情報追記・反映が必要となっていたのでその内容を備忘録として残しておこうと思います。

SMSのMFA対応に関する内容については、以下エントリをご参照ください。

また、MFAを行なう際のIAMポリシーの作成については以下の情報をベースに行いました。
(後述内容でポリシー設定を追記しています)

IAMユーザ本人にMFAを管理してもらうためのIAMポリシー｜ Developers.IO

SMSのMFA認証を行なうユーザーに設定するIAMポリシー

当エントリで言及している内容を満たすIAMポリシーは以下となります。123456789012の部分を対応するAWSアカウントの12桁数字に置き換えてください。管理者ユーザーで、所定の(SMSのMFA認証を行なう)ユーザーに対して下記内容で作成したIAMポリシーを割り当てる形となります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "NotAction": "iam:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListUsers"
            ],
            "Resource": [
                "arn:aws:iam::123456789012:user/"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListVirtualMFADevices"
            ],
            "Resource": [
                "arn:aws:iam::123456789012:mfa/"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:EnableMFADevice",
                "iam:DeactivateMFADevice",
                "iam:ResyncMFADevice",
                "iam:ListMFADevices",
                "iam:RequestSmsMfaRegistration",
                "iam:FinalizeSmsMfaRegistration"
            ],
            "Resource": [
                "arn:aws:iam::123456789012:user/${aws:username}"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateVirtualMFADevice"
            ],
            "Resource": [
                "arn:aws:iam::123456789012:mfa/${aws:username}"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:DeleteVirtualMFADevice"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

設定末尾に記載しているiam:DeleteVirtualMFADeviceの部分に関する記述については、手順を進める→エラーの内容に従ってアクションやリソースに対して必要な権限を追加していく過程で以下の様なエラーに突き当たり(SMSのMFA認証の有効化→無効化→再有効化のタイミングで出ました)、この内容を元にすると『そんなリソース(sms-mfa)は設定出来ない』という旨のエラーが出てそもそも設定としての追加が出来ないため、この様な形で権限を与えています。