AWS CLIを利用して、S3へのフルアクセスが可能なIAMロールをIAMユーザに付与してみます。
(AssumeRole権限のあるユーザで作業します。)
前提条件
AssumeRoleへの権限
- AssumeRoleに対してフル権限があること。
AWS CLIのバージョン
以下のバージョンで動作確認済
- AWS CLI 1.10.0
- AWS CLI 1.9.11
コマンド
aws --version
結果(例)
aws-cli/1.10.0 Python/2.7.5 Darwin/13.4.0 botocore/1.3.22
0. 準備
変数の確認
プロファイルとリージョンが想定のものになっていることを確認します。
変数の確認
export AWS_DEFAULT_PROFILE='taro-prjZ-mbp13'
変数の確認
aws configure list
結果(例)
Name Value Type Location
---- ----- ---- --------
profile taro-prjZ-mbp13 env AWS_DEFAULT_PROFILE
access_key ****************LOAQ shared-credentials-file
secret_key ****************I1O1 shared-credentials-file
region ap-northeast-1 env AWS_DEFAULT_REGION
1. 事前作業
1.1. IAMロール名の指定
変数の設定
IAM_ROLE_NAME='s3FullforAssumeRole'
IAMロールのARNを取得します。
コマンド
IAM_ROLE_ARN=$(\
aws iam get-role \
--role-name ${IAM_ROLE_NAME} \
--query 'Role.Arn' \
--output text \
) \
&& echo ${IAM_ROLE_ARN}
1.2. (任意) S3バケット名の指定 (権限テスト用)
変数の設定
ORG_NAME=<組織名>
変数の設定
S3_BUCKET_NAME="${ORG_NAME}-handson-$(date +%Y%m%d)" \
&& echo ${S3_BUCKET_NAME}
同名のバケットが存在しないことを確認します。(存在する場合は、別の名前に変更してください。)
コマンド
aws s3 ls ${S3_BUCKET_NAME}
結果(例)
A client error (NoSuchBucket) occurred when calling the ListObjects operation: The specified bucket does not exist
1.3. (任意) コマンドの確認 (権限テスト: 失敗)
まだ権限が無いS3へのバケット作成に失敗することを確認します。
コマンド(失敗例)
aws s3 mb s3://${S3_BUCKET_NAME}
結果(例)
make_bucket failed: s3://example-handson-20151207/ A client error (AccessDenied) occurred when calling the CreateBucket operation: Access Denied
1.4. トークンの有効期間の指定
15-60の間の値を指定します。
変数の設定
EXPIRATION_MINUTES='60'
2. トークンの発行
変数の設定
EXPIRATION_SECONDS=$(expr 60 \* ${EXPIRATION_MINUTES})
FILE_ASSUME_ROLE_OUTPUT="${IAM_ROLE_NAME}-output.json"
ROLE_SESSION_NAME="${IAM_ROLE_NAME}-session"
AssumeRoleTokenを取得します。
変数の確認
cat << ETX
IAM_ROLE_ARN: ${IAM_ROLE_ARN}
EXPIRATION_SECONDS: ${EXPIRATION_SECONDS}
FILE_ASSUME_ROLE_OUTPUT: ${FILE_ASSUME_ROLE_OUTPUT}
ROLE_SESSION_NAME: ${ROLE_SESSION_NAME}
ETX
コマンド
aws sts assume-role \
--role-arn ${IAM_ROLE_ARN} \
--role-session-name ${ROLE_SESSION_NAME} \
--duration-seconds ${EXPIRATION_SECONDS} \
> ${FILE_ASSUME_ROLE_OUTPUT} \
&& cat ${FILE_ASSUME_ROLE_OUTPUT}
トークン発行時刻を確認しておきましょう。
コマンド
date
3. トークンの利用
3.1. トークン情報の抽出
ここでは環境変数を利用してAssumeRoleTokenを利用します。
変数の設定
FILE_ASSUME_ROLE_ENV="${IAM_ROLE_NAME}.env"
コマンド
cat ${FILE_ASSUME_ROLE_OUTPUT} | \
awk '
$1 == "\"AccessKeyId\":" {
gsub(/\"/,""); gsub(/,/,""); print "export AWS_ACCESS_KEY_ID="$2
}
$1 == "\"SecretAccessKey\":" {
gsub(/\"/,""); gsub(/,/,""); print "export AWS_SECRET_ACCESS_KEY="$2
}
$1 == "\"SessionToken\":" {
gsub(/\"/,""); gsub(/,/,""); print "export AWS_SESSION_TOKEN="$2
}
' \
> ${FILE_ASSUME_ROLE_ENV} \
&& cat ${FILE_ASSUME_ROLE_ENV}
3.2. 一時認証の利用
コマンド
unset AWS_DEFAULT_PROFILE
source ${FILE_ASSUME_ROLE_ENV}
3.3. (任意) コマンドの実行 (権限テスト: 成功)
コマンド(成功例)
aws s3 mb s3://${S3_BUCKET_NAME}
結果(例)
make_bucket: s3://example-handson-20151207/
4. (任意) マネージメントコンソールでのロール切り替え
メニュー > アカウント名 > ロールの切り替え
ロールの切り替え(画面)
アカウント: AWS IDを入力します。
参考(コマンドでのAWS-IDの取得方法)
AWS_ID=$( \
aws iam get-role \
--role-name ${IAM_ROLE_NAME} \
--query 'Role.Arn' \
--output text | \
sed 's/^.*:://' | \
sed 's/:.*$//' \
) \
&& echo ${AWS_ID}
結果(例)
XXXXXXXXXXXX
ロール: 以下のロール名を入力します。
s3FullforAssumeRole
- ロールの切り替え(ボタン)を押す。
5. 有効期間終了後
5.1. (任意) コマンドの確認 (権限テスト: 失敗)
変数の設定
S3_BUCKET_NAME="${ORG_NAME}-handson-$(date +%Y%m%d)-2" \
&& echo ${S3_BUCKET_NAME}
同名のバケットが存在しないことを確認します。(存在する場合は、別の名前に変更してください。)
コマンド
aws s3 mb s3://${S3_BUCKET_NAME}
結果(例)
make_bucket failed: s3://example-handson-20151207-2/ A client error (ExpiredToken) occurred when calling the CreateBucket operation: The provided token has expired.
5.2. 変数のunset
コマンド
unset AWS_ACCESS_KEY_ID
unset AWS_SECRET_ACCESS_KEY
unset AWS_SESSION_TOKEN