ベストプラクティスに従ったコンソールログイン用のIAM環境をCloudFormationで設定してみた(設置編)

suzuki.ryo

2018.04.06

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

AWSチームのすずきです。

先日、紹介させていただいたAWSのベストプラクティスに従ったAWSコンソールログイン用設定を CloudFormationテンプレートを利用して、展開する方法について紹介させて頂きます。

AWSコンソールのログイン用アカウントをIAMのベストプラクティスに従って作成してみた(設定編)

事前確認

CloudFormationを利用した設定の前に、CloudTrail設定状況と、IAMユーザのパスワードポリシーについて確認を行います。

CloudTrail設定確認

CloudTrailダッシュボード

IAM操作ログの保持のため、バージニア(us-east-1)、Ec2などを利用する(東京:ap-northeast-1)リージョンのCloudTrail設定が有効な事を確認します。
過去90日間の証跡ログはダッシュボードでの確認が可能になりましたが、S3上で一定期間保存される事をおすすめします。

IAM パスワードポリシー

IAMダッシュボード

IAMユーザのパスワードポリシーを設定します。
今回はパスワードの強度を保つため、文字数をデフォルトから増やす設定を行いました。
社内規定や総務省のガイドラインなどを元に、適切な設定を行う事をおすすめします。

CloudFormation設定

バージニアリージョン(us-east-1) でCloudFormationを実行し、AWSコンソールログイン用のIAM設定を行います。

CloudFormationテンプレート入手

以下の記事の最後に紹介したCloudFormationテンプレートを利用します。

AWSコンソールのログイン用アカウントをIAMのベストプラクティスに従って作成してみた(設定編)

ダウンロード例(wget)

wget https://raw.githubusercontent.com/suzryo/aws/master/CFn/iam-best-practices/iam-user-for-aws-console-login.yaml

不正な改竄などがない事を確認した上で利用する事をおすすめします。

$ md5sum iam-user-for-aws-console-login.yaml
031fd3a28cadb1ce8bed983db7e7bb6d  iam-user-for-aws-console-login.yaml

AWS CloudFormation Designerを利用し、テンプレートの設定内容をGUIで確認する事も可能です。

CloudFormationデザイナーをはじめよう

スタックの作成

バージニアリージョンでスタックの作成を行います。
今回のテンプレート、バージニアリージョン以外でも設置する事は可能ですが、通知などに制限が生じます。

CloudFormationダッシュボード

先にダウンロードテンプレートファイル(iam-user-for-aws-console-login.yaml )を選択
「テンプレートをS3にアップロード」して利用します。

詳細の指定

テンプレートで利用するパラメータなどの設定を実施します。

スタックの名前

スタックの名前は任意に付与します。今回はテンプレート名と同じ「iam-user-for-aws-console-login」としました。

AllowCreateAccessKey

今回のテンプレートでは、アクセスキーは利用するシステムごとに発行するものとし、AWSコンソール用のIAMユーザはアクセスキーの発行、利用を禁止としています。

AllowIPrangeAssumeRole

特定拠点やVPNなどの固定IPで、AWSコンソールの接続元IPアドレスを限定出来る場合には、デフォルトの「0.0.0.0/0」から変更します。
複数拠点の許可が必要な場合、当パラメータでの展開はできないため、CloudFormationテンプレート(YAML)の「aws:SourceIp」を修正するなどして対応してください。

            Condition:
              Bool:
                aws:MultiFactorAuthPresent: 'true'
              IpAddress:
                aws:SourceIp:
                - 192.168.0.1/32
                - 192.168.0.2/32
                - 192.168.0.3/32