AWS CLIからCloudFormation でユーザとロールを作成して、流れるようにスイッチロールの確認をしてみた

梶原大使

2020.04.14

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

最近は、ABACばっかりやってるAWS 事業本部梶原＠福岡オフィスです。

ABAC(属性ベースのアクセスコントロール）を実施する際、ポリシーは同一にして、スケールすることができるのですが、ユーザやロールの確認作業は必要になってきます。とはいえ、様々な属性値のユーザの確認作業を手作業でやるのは結構大変です。

ということで検証作業を楽にするため、ユーザー作成、ロール作成部分をTemplate化しました。必要に応じて修正（タグ値を追加など）して、ご自由にお使いくださいまた流れで、ロールの検証を行いたいため、スイッチロールを楽にするために認証情報を取得しやすくしています。 credentialsの設定や、configの設定って微妙にはまりがちなのでなるべく簡単に定型作業でできるようにしています。でわでわ

Templateの説明

Template全体は、Githubへのリンクを参照してください

ユーザー、ロール作成用 CloudFormation テンプレート

https://github.com/ambasad/devio-blog-cfn/raw/master/iam/cfn-iam-user.yml

ユーザ作成部分

パラメータで指定したRoleへのAssumeRoleだけ可能なユーザを作成しています

  IAMManagedPolicyAssumeRole:
    Type: AWS::IAM::ManagedPolicy
    Properties:
      ManagedPolicyName: access-assume-role
      Path: /
      PolicyDocument: !Sub |
        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "AssumeRole",
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Resource": "arn:aws:iam::${AWS::AccountId}:role/${RoleName}"
                }
            ]
        }

  IAMUser1:
    Type: AWS::IAM::User
    Properties:
      Path: /
      UserName: !Ref UserName
      ManagedPolicyArns:
        - !Ref IAMManagedPolicyAssumeRole

ロール作成部分

信頼されたエンティティに作成したユーザを指定しています

  IAMRole1:
    Type: AWS::IAM::Role
    Properties:
      Path: /
      RoleName: !Ref RoleName
      AssumeRolePolicyDocument: !Sub |
        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Principal": {"AWS":"${IAMUser1.Arn}"}
                }
            ]
        }
      MaxSessionDuration: 3600

API アクセスキー作成部分

API アクセスキーを作成します

  IAMAccessKeyUser1:
    Type: AWS::IAM::AccessKey
    Properties:
      UserName: !Ref IAMUser1

API アクセスキー保存部分

作成したAPIキーをSecretsManagerに保存しています。後で使いやすいように認証情報ファイル(credentials)で使いやすいように整形しています後程、設定情報ファイル(.aws/credentials)に設定します。

※ 認証情報をSecretsManager保持することになるため、必要に応じてパラメータのKmsKeyIdを指定し作成したユーザだけが復号、取得できるようにするなどの対応を推奨します。

  SecretUser1:
    Type: AWS::SecretsManager::Secret
    Properties:
      Name: !Sub ${IAMUser1}-credentials
      KmsKeyId: !If [UseKmsKey, !Ref KmsKeyId, !Ref "AWS::NoValue"]
      SecretString: !Sub |
        [${IAMUser1}]
        aws_access_key_id = ${IAMAccessKeyUser1}
        aws_secret_access_key = ${IAMAccessKeyUser1.SecretAccessKey}

こんな感じの文字列が設定されます

[UserA]
aws_access_key_id = xxxxxxxxxxxxxxxxxx
aws_secret_access_key = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

認証設定情報保存部分

こちらは認証情報を含まないため、設定ファイル(config)で使いやすいように整形して保存しています。後程、設定情報ファイル(.aws/config)に設定します。

内容は追加したユーザから作成したロールにスイッチロールする設定になります

  IAMRole1Config:
    Type: AWS::SSM::Parameter
    Properties:
      Type: String
      Value: !Sub |
        [profile ${IAMRole1}]
        role_arn = ${IAMRole1.Arn}
        source_profile = ${IAMUser1}

こんな感じの文字列が設定されます

[profile RoleA]
role_arn = arn:aws:iam::XXXXXXXXXXXX:role/RoleA
source_profile = UserA

出力部

使用しやすいように、作成したユーザやロールをパラメータにしたコマンドを出力しています。

Outputs:
  User1Credentials:
    Value: !Sub |
      aws secretsmanager get-secret-value --secret-id ${SecretUser1} --query 'SecretString' --output text >> ~/.aws/credentials
  User1Config:
    Value: !Sub |
      aws ssm get-parameters --names ${IAMRole1Config} --query 'Parameters[].Value' --output text >> ~/.aws/config
  User1SwitchRole:
    Value: !Sub |
      aws sts get-caller-identity --profile ${IAMRole1}

AWS CLIからCloudFormationの実行

なお、CloudFormationの実行権限等はあるものとして進めています。

Stack作成

テンプレート cfn-iam-user.yml を実行して、スタック作成します。ユーザ名、ロール名などはパラメータで指定できるようにしていますが、ここではデフォルト値(UserA, RoleA)を使用します。

template=cfn-iam-user
aws cloudformation create-stack --stack-name $template \
--template-body "file://./$template.yml" \
--capabilities CAPABILITY_NAMED_IAM

AWS CLIからCloudFormationの実行結果を取得し、認証情報を設定

認証情報の取得

認証情報をSecretsManagerから取得します。CloudFormationの出力に取得用のコマンドを設定しているので取得します。

aws cloudformation describe-stacks --stack-name $template \
--query 'Stacks[].Outputs[?OutputKey==`User1Credentials`].OutputValue' \
--output text

以下のようなコマンドが取得できるかと思いますので実行します。取得した認証情報を ~/.aws/credentials に追記しています。

aws secretsmanager get-secret-value --secret-id arn:aws:secretsmanager:ap-northeast-1:XXXXXXXXXXXX:secret:UserA-credentials-XXXXX --query 'SecretString' --output text >> ~/.aws/credentials

必要に応じて実際に設定（追記）されているか確認してみます。

cat ~/.aws/credentials

認証設定の取得

認証設定情報をSystemsManager のパラメータから取得します。CloudFormationの出力に取得用のコマンドを設定しているので取得します。

aws cloudformation describe-stacks --stack-name $template \
--query 'Stacks[].Outputs[?OutputKey==`User1Config`].OutputValue' \
--output text

以下のようなコマンドが取得できるかと思いますので実行します。取得した認証設定情報を ~/.aws/config に追記しています。

aws ssm get-parameters --names CFN-IAMRole1Config-XXXXXXXXXXXX --query 'Parameters[].Value' --output text >> ~/.aws/config

必要に応じて実際に設定（追記）されているか確認してみます。

cat ~/.aws/config

AWS CLIからスイッチロール権限の確認

スイッチロールの確認

profileで指定できるようにしてますのでユーザの認証、スイッチロールが実行できるか確認します。

aws cloudformation describe-stacks --stack-name $template \
--query 'Stacks[].Outputs[?OutputKey==`User1SwitchRole`].OutputValue' \
--output text

以下のようなコマンドが取得できるかと思いますので実行します。特にエラー等が発生せずに、Arnが取得できていればユーザの認証、スイッチロールは成功しています

aws sts get-caller-identity --profile UserA
{
"UserId": "XXXXXXXXXXXXXXXXXXXXX",
"Account": "XXXXXXXXXXXX",
"Arn": "arn:aws:iam::XXXXXXXXXXXX:user/UserA"
}

aws sts get-caller-identity --profile RoleA
{
"UserId": "XXXXXXXXXXXXXXX:botocore-session-1586854302",
"Account": "XXXXXXXXXXXXXXX",
"Arn": "arn:aws:sts::XXXXXXXXXXXXXXX:assumed-role/RoleA/botocore-session-XXXXXXXXXXXXXXX"
}

おまけ既存のRoleにポリシーを追加してみる

これだけだと、ただスイッチロールの検証だけですので、必要なポリシーを定義した管理ポリシーを作成したロールに追加します。

サンプルとしてS3の権限を作成した管理ポリシーを先ほど作成したロールに追加します。

template=cfn-add-policy
aws cloudformation create-stack --stack-name $template --template-body "file://./$template.yml" \
--parameters "ParameterKey=Roles, ParameterValue=RoleA" \
--capabilities CAPABILITY_NAMED_IAM

スタックの作成、成功後、にprofileを指定して、S3へのアクセス権限等を確認します。

aws s3 ls --profile RoleA

まとめ

コマンドラインでの作業でなるべく完結するようにしてみました。コマンドライン(AWS CLI)で実施できるところまで行けば、検証含めた自動化もやりやすくなるかと思います。今回公開しているテンプレートは基本的な部分にそぎおとしてますが、テンプレートの素材としては使いやすいようにしたつもりですので、どなたかのお役に立てれば幸いです。

後片付け

検証が終了したら、スタック、リソースは削除してしまいます。便利です。

template=cfn-iam-user
aws cloudformation delete-stack --stack-name $template

認証情報(~/.aws/credentials)、認証設定情報(~/.aws/config)も適時消してください。

テンプレートファイル

ユーザー、ロール作成用 CloudFormation テンプレート https://github.com/ambasad/devio-blog-cfn/raw/master/iam/cfn-iam-user.yml

既存のロールへの管理ポリシーの追加用 CloudFormation テンプレート

https://github.com/ambasad/devio-blog-cfn/raw/master/iam/cfn-add-policy.yml

参考情報

https://aws.amazon.com/jp/premiumsupport/knowledge-center/iam-assume-role-cli/

AWS CLIからCloudFormation でユーザとロールを作成して、流れるようにスイッチロールの確認をしてみた

Templateの説明

ユーザ作成部分

ロール作成部分

API アクセスキー作成部分

API アクセスキー保存部分

認証設定情報保存部分

出力部

AWS CLIからCloudFormationの実行

Stack作成

AWS CLIからCloudFormationの実行結果を取得し、認証情報を設定

認証情報の取得

認証設定の取得

AWS CLIからスイッチロール権限の確認

スイッチロールの確認

おまけ既存のRoleにポリシーを追加してみる

まとめ

後片付け

テンプレートファイル

参考情報

イベント

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会〜AWS / システムアーキテクト案件特集〜を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【4/25（木）リモート】Google Cloudに携わるエンジニアのキャリア～クラスメソッド会社説明会～

EVENT【4/30（火）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/9（木）】組織的なクラウド統制はじめの一歩

AWS CLIからCloudFormation でユーザとロールを作成して、流れるようにスイッチロールの確認をしてみた

Templateの説明

ユーザ作成部分

ロール作成部分

API アクセスキー作成部分

API アクセスキー保存部分

認証設定情報保存部分

出力部

AWS CLIからCloudFormationの実行

Stack作成

AWS CLIからCloudFormationの実行結果を取得し、認証情報を設定

認証情報の取得

認証設定の取得

AWS CLIからスイッチロール権限の確認

スイッチロールの確認

おまけ 既存のRoleにポリシーを追加してみる

まとめ

後片付け

テンプレートファイル

参考情報

イベント

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会 〜AWS / システムアーキテクト案件特集〜 を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金） 名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【4/25（木）リモート】Google Cloudに携わるエンジニアのキャリア～クラスメソッド会社説明会～

EVENT【4/30（火）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/9（木）】組織的なクラウド統制 はじめの一歩

関連記事

[初心者向け]コードを書かなくてもOSSに貢献！Githubで管理されているOSSにIssue報告してみた

MFA認証を使ったAssumeRoleでシンプルにTerraformを実行する(aws configure export-credentials)

AWS Config の個別アカウントアグリゲータを AWS CLI で作成する

Changing EC2 instance type

おまけ既存のRoleにポリシーを追加してみる

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会〜AWS / システムアーキテクト案件特集〜を開催します

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【5/9（木）】組織的なクラウド統制はじめの一歩