[AWS Organizations] SCP(サービスコントロールポリシー)を使ってインフラリソースを保護してみる

AWS Organizations の SCP(サービスコントロールポリシー)を使ったタグベース制御例です

#AWS Organizations

#SCP

#ABAC

#AWS

川原征大

2021.02.10

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

AWS Organizations 環境において、各メンバーアカウントへ構築したネットワークやITサービスなどのインフラサービスを保護する方法を SCP(サービスコントロールポリシー) で実現してみます。リソースタグを活用します。

SCPは AWS Organizations の組織単位(OU)やアカウントに指定することができるポリシーです。 OUに SCPをアタッチすることで、複数アカウントの一括アクセス制御が可能になります。

設計内容

特定タグ/値が付与されたインフラリソースの削除を禁止(Deny)する ことを目標とします。

後続の実装のために、もう少し細かい設計をしていきます。

対象のリソース(Resource)は何か

今回は Amazon EC2で定義されるリソースを対象とします。

代表的なリソースとして、EC2インスタンスや VPC、サブネット、セキュリティグループ、 Transit Gateway などがあります。

これらリソースのARNは arn:aws:ec2:* で表せます( * はワイルドカード)。

対象のアクション(Action)は何か

Amazon EC2 で定義されるアクションにおいて、大半のリソースの削除は Delete* といったアクションで定義されています( * はワイルドカード)。しかし、例えば EC2インスタンスの削除(終了) は TerminateInstances だったりします。

このように保護したいリソースのそれぞれについて、削除するアクションが何か把握しておく必要があります。

今回はEC2リソースの以下アクションを対象とします。

Delete*
Terminate*

どの条件(Condition)下で禁止するか

今回は Protection/enabled のタグ/値が付けられたリソースがあったときに 、削除を禁止するようにします。

この条件を厳密に書くと以下のようになります。

「Protectionタグが存在する」
かつ「Protectionタグの値が "enabled" である」

SCP 実装

設計を基に以下のような SCPを書いてみました。

   
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Resource": "arn:aws:ec2:*",
      "Action": [
        "ec2:Delete*",
        "ec2:Terminate*"
      ],
      "Condition": {
        "Null": {
          "aws:ResourceTag/Protection": false
        },
        "StringEquals": {
          "aws:ResourceTag/Protection": "enabled"
        }
      }
    }
  ]
}

Effect, Resource, Action の部分は設計から分かると思います。

Condition 部分の解説をしていきます。

Condition "Null" 部分の説明

    
"Null": {
  "aws:ResourceTag/Protection": false
},

「Protectionタグが存在する」を表しています。

Null は条件演算子の1つです。条件キー(今回は aws:ResourceTag/Protection) がリクエスト情報に含まれているかチェックをします。含まれていない場合は true 、含まれている場合は false を返します。

aws:ResourceTag/tag-key は条件キーの1つで、リソースにアタッチされたタグの値を使った比較を行うことができます。

つまり "Null": { "aws:ResourceTag/Protection": false } は「リソースに Protectionタグが 含まれている場合 」に真となります。今回実現したい「Protectionタグが存在する」にマッチする条件です。

Condition "StringEquals" 部分の説明

    
"StringEquals": {
  "aws:ResourceTag/Protection": "enabled"
}

「Protectionタグの値が "enabled" である」を表しています。

StringEquals は文字列条件演算子の 1つです。条件キー(今回は aws:ResourceTag/Protection)の値が指定文字列(今回は "enabled") に完全一致するかチェックします。

つまり "StringEquals": { "aws:ResourceTag/Protection": "enabled"} は「リソースの Protectionタグ値が "enabled" と完全一致する場合 」に真となります。今回実現したい「Protectionタグの値が "enabled" である」にマッチする条件です。

検証(実際の運用の流れ)

以下のように各AWSアカウントに管理者/開発者がいる環境を想定します。

この SCPを使ったインフラリソースの保護の運用においては、 「Protectionタグを編集できる人/できない人」 を明確に分けておく必要があります。

例えば開発者には Protection タグを編集できないようにするために、以下のようなポリシーを追加しておきます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Resource": "arn:aws:ec2:*",
      "Action": [
        "ec2:DeleteTags",
        "ec2:CreateTags"
      ],
      "Condition": {
        "Null": {
          "aws:RequestTag/Protection": false
        }
      }
    }
  ]
}