既存のEC2から起動テンプレートを作成時にパラメータが何も入力されなかった場合の対処方法

IP制限用のポリシーを作成する際は、CloudFormationのような一部のAWSサービスはユーザーに代わってリクエストするので注意が必要

#AWS

#Amazon EC2

inomaso

2023.09.30

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは！コンサル部のinomaso(@inomasosan)です。

既存のEC2から起動テンプレートを作成したところ、何故かインスタンス設定パラメーターがひとつも入力されませんでした。
作業で利用したIAMユーザのIAMポリシーにはAdministratorAccessをアタッチしていたので、詳しく調べてみることにしました。

まずは原因から

該当のIAMユーザにはIP制限のIAMポリシーもアタッチされていた
既存のEC2から起動テンプレート作成時に、CloudFormationなどと同様にAWSサービスがユーザーに代わってリクエストしていた
CloudFormationのようなAWSサービスがユーザーに代わってリクエストするようなサービスだと、AWSサービスが利用するIPアドレスでの操作するため内部的にエラーとなっていた
- 起動テンプレートの場合、インスタンス設定パラメーターの入力がエラーとなっても、起動テンプレート自体の作成は完了していないため、CloudTrailにも履歴が残らない

対処方法

以下いずれかの方法で対処可能です。

IP制限している"Condition"ブロック内に"aws:ViaAWSService"を追加
IAMユーザからスイッチロールするIAMロールを作成

IP制限している`"Condition"`ブロック内に`"aws:ViaAWSService"`を追加

IP制限を残しつつ、AWSサービスがAWSリソースへアクセスすることを許可するには、以下のようなポリシーに修正することで実現できます。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Deny",
        "Action": "*",
        "Resource": "*",
        "Condition": {
            "NotIpAddress": {
                "aws:SourceIp": [
                    "xxx.xxx.xxx.xxx/xx",
                    "xxx.xxx.xxx.xxx/xx"
                ]
            },
            "Bool": {"aws:ViaAWSService": "false"}
        }
    }
}

(参考)IAM ポリシーで特定条件のアクセス制限をかけつつ、AWS サービスのアクセスは許可したいときの対処方法 | DevelopersIO:

また上記のポリシーだと、CloudShellを利用できません。ちょっとした作業対応するのに非常に便利なため、下記のポリシーに修正して使用できるようにしましょう

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Deny",
        "Action": "*",
        "Resource": "*",
        "Condition": {
            "NotIpAddress": {
                "aws:SourceIp": [
                    "xxx.xxx.xxx.xxx/xx",
                    "xxx.xxx.xxx.xxx/xx"
                ]
            },
            "Bool": {"aws:ViaAWSService": "false"},
            "StringNotLike": {
                "aws:userAgent": "*aws-cli*"
            }
        }
    }
}