AWS SSO アクセス許可セットのインラインポリシーを使って特定の期間のみ特権を与える

#AWS Single Sign-On

#AWS

hayashi.masaya

2022.05.12

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

こんにちは。大阪オフィスの林です。

AWS SSO アクセス許可セットのインラインポリシーを使って「指定の期間のみ特権を与える」という検証を行う機会がありましたので内容をまとめておきたいと思います。
今回の検証では平時の運用として読み取り専用（下図の「ReadOnly」）のアクセス許可セットを使用して各AWSアカウントにログインしているような環境を想定しています。

平時の利用

そのような環境に対して、一時的に特権のアクセス許可セット（下図の「Temp-Administrator」）を追加してユーザーとAWSアカウントにアタッチします。そのアクセス許可セットにアタッチするポリシーにはインラインポリシーを使用して「特定の期間のみ」というグローバル条件コンテキストキーも付与していきたいと思います。ザックリやりたいことは下図のイメージです。

一時的な特権付与

やってみた

アクセス許可セットの作成とユーザー/AWSアカウントへのアタッチ

AWS SSOのダッシュボードから「アクセス許可セット」-「許可セットを作成」を選択します。

「カスタム許可セット」を選択し「次へ」を選択します。

「インラインポリシー」に下記ポリシーをコピペし「次へ」を選択します。 ※DateGreaterThan,DateLessThanは適宜変更ください。
※ActionやResourceを「*」で許可していますが、対象を限定するなども必要に応じてご検討ください。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "DateGreaterThan": {
                    "aws:CurrentTime": "2022-05-12T00:00:00Z"
                },
                "DateLessThan": {
                    "aws:CurrentTime": "2022-05-12T23:59:59Z"
                }
            }
        }
    ]
}