VPCの変更系APIを洗い出してCIDR周りの変更をSCPで止めたいなって思ったときに権限を洗い出す手法

こんにちは、臼田です。

みなさん、IAM書いてますか？(挨拶

今回はちょっと調べ物をした際に良さそうなIAM権限確認方法を見つけた(半分教えてもらった)のでそれと、実際に洗い出したVPCの変更権限を紹介します。

背景

「VPCのIPアドレス(CIDR)周りの変更をさせたくないです」という要望をもらいました。

具体的にはAWS Organizationsを利用していて、一度管理側で払い出したVPCに対して、CIDR周りの操作を利用者にさせたくない、という感じです。

払い出しの作業と利用する時のOUが別なので、SCPでVPCの変更系をブロックしよう、という設計方針になりました。

さて、問題は権限の洗い出しです。

変更権限の洗い出し

僕は経験上知っています。

IAMポリシーの設定画面に行くと、かんたんに変更系の権限を洗い出すことができます。何ならそのままいっぺんに選択してポリシードキュメントの作成が可能です。

例えばELB v2であれば以下のようになります。サービスを選択したら「書き込み」を選択すればOKです。大多数のサービスはこれでいいんです。

JSONタブに切り替えればかんたんにポリシードキュメントを取得できます。

でもVPCに限ってはこの限りではありません。VPCはAPIの体型としては個別のサービスではなく、EC2のAPIに含まれています。以下のようになっています。

画像は切れていますが、変更系だけで300個ぐらいAPIがあります。

この中からVPC周りの(VPCとついているだけでなくSubnetとかもあります)APIを探すのは大変です。

というわけで、別の手法を活用しました。

VPCのAPIドキュメント

社内でいい方法無いですかー？って聞いたらAmazon VPC actions - Amazon Elastic Compute Cloudを紹介されました。

これはすごいです。ちゃんとVPC系のAPIだけまとまっています。しかもSubnets、Route tables、Security groupsなど種類ごとに分類されています。素晴らしい！

CIDR周りの変更権限一覧

というわけでCIDR周りなどの変更権限一覧を洗い出しました。2021/10/22現在ではこれです。(新しいものがないかは上記のリンクからご確認ください)