Go to Qiita Advent Calendar 2024 Top
LoginSignup
2
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

More than 5 years have passed since last update.

@tcsh(Hirokazu HATANO)

[JAWS-UG CLI] IAM:#11 RDS管理者グループとユーザを作成する

Last updated at Posted at 2015-03-16

https://jawsug-cli.doorkeeper.jp/events/19868 で利用するハンズオン資料です。

AWS CLIを利用して、RDSへのフルアクセスが可能なIAMグループとIAMユーザを作成してみます。

前提条件

IAMへの権限

  • IAMに対してフル権限があること。

AWS CLIのバージョン

  • 以下のバージョンで動作確認済

    • AWS CLI 1.7.39
    • AWS CLI 1.7.14
コマンド
aws --version
結果(例)
aws-cli/1.7.39 Python/2.7.5 Darwin/13.4.0
  1. 準備
    =======

0.1. リージョンの決定

作成するユーザのデフォルトリージョンを決めます。
(カレントユーザが利用するカレントリージョンも切り変わります。)

変数の設定(東京リージョンの場合)
export AWS_DEFAULT_REGION='ap-northeast-1'

0.2. 変数の確認

変数の確認
aws configure list
結果(例)
            Name                    Value             Type    Location
            ----                    -----             ----    --------
         profile      iamFull-prjZ-mbp13               env    AWS_DEFAULT_PROFILE
      access_key     ****************LOAQ shared-credentials-file
      secret_key     ****************I1O1 shared-credentials-file
          region           ap-northeast-1              env    AWS_DEFAULT_REGION
  1. 事前作業
    ===========

1.1. 組織名、プロジェクト名の決定

変数の設定
PRJ_NAME=<プロジェクト名>
LOC_NAME=<作業場所名>

1.2. IAMグループ名の決定

変数の設定
IAM_GROUP_NAME="rdsFull"

同じ名前のIAMグループが存在しないことを確認します。

コマンド
aws iam get-group \
  --group-name ${IAM_GROUP_NAME}
結果
A client error (NoSuchEntity) occurred when calling the GetGroup operation: The group with name rdsFull cannot be found.

1.3. IAMポリシーの決定

存在するユーザ管理ポリシーを確認します。

コマンド
aws iam list-policies \
        --scope AWS \
        --max-items 1000 \
        --query 'Policies[].PolicyName'

利用するIAMポリシーを決めます。

変数の設定
IAM_POLICY_NAME='AmazonRDSFullAccess'

1.4. IAMポリシーの確認

ARNを取得します。

変数の設定
IAM_POLICY_ARN=$( \
  aws iam list-policies \
    --max-items 1000 \
    --query "Policies[?PolicyName == \`${IAM_POLICY_NAME}\`].Arn" \
    --output text \
) \
  && echo ${IAM_POLICY_ARN}
結果(例)
      arn:aws:iam::aws:policy/AmazonRDSFullAccess

ポリシのバージョンを取得します。

変数の設定
IAM_POLICY_VERSION=$( \
  aws iam list-policies \
    --max-items 1000 \
  |  jq -r --arg name ${IAM_POLICY_NAME} '.Policies[] | select( .PolicyName == $name ) | .DefaultVersionId' \
) \
  && echo ${IAM_POLICY_VERSION}
結果(例)
      v1

ポリシの内容を見てみましょう。

コマンド
aws iam get-policy-version \
        --policy-arn ${IAM_POLICY_ARN} \
        --version-id ${IAM_POLICY_VERSION}
結果(例)
{
    "PolicyVersion": {
        "CreateDate": "2015-02-06T18:40:52Z", 
        "VersionId": "v1", 
        "Document": {
            "Version": "2012-10-17", 
            "Statement": [
                {
                    "Action": [
                        "rds:*", 
                        "cloudwatch:DescribeAlarms", 
                        "cloudwatch:GetMetricStatistics", 
                        "ec2:DescribeAccountAttributes", 
                        "ec2:DescribeAvailabilityZones", 
                        "ec2:DescribeSecurityGroups", 
                        "ec2:DescribeSubnets", 
                        "ec2:DescribeVpcs", 
                        "sns:ListSubscriptions", 
                        "sns:ListTopics"
                    ], 
                    "Resource": "*", 
                    "Effect": "Allow"
                }
            ]
        }, 
        "IsDefaultVersion": true
    }
}

1.5. IAMユーザの決定

変数の設定
IAM_USER_NAME="${IAM_GROUP_NAME}-${PRJ_NAME}-${LOC_NAME}" \
  && echo ${IAM_USER_NAME}

同じ名前のIAMユーザが存在しないことを確認します。

コマンド
aws iam get-user --user-name ${IAM_USER_NAME}
結果
      A client error (NoSuchEntity) occurred when calling the GetUser operation: The user with name taro cannot be found.
  1. グループの作成
    =================

2.1. IAMグループの作成

変数の確認
cat << ETX

      IAM_GROUP_NAME: ${IAM_GROUP_NAME}

ETX

IAMグループを作成します。

コマンド
aws iam create-group --group-name ${IAM_GROUP_NAME}
結果
      {
        "Group": {
            "Path": "/",
            "CreateDate": "2015-01-17T11:33:25.902Z",
            "GroupId": "AGPAXXXXXXXXXXXXXXXXX",
            "Arn": "arn:aws:iam::XXXXXXXXXXXX:group/rdsFull",
            "GroupName": "rdsFull"
        }
      }

2.2. IAMグループの確認

コマンド
aws iam get-group --group-name ${IAM_GROUP_NAME}
結果
      {
        "Group": {
            "Path": "/",
            "CreateDate": "2015-01-19T06:36:27Z",
            "GroupId": "AGPAXXXXXXXXXXXXXXXXX",
            "Arn": "arn:aws:iam::XXXXXXXXXXXX:group/rdsFull",
            "GroupName": "rdsFull"
        },
        "Users": []
      }
  1. グループポリシーの適用
    =========================

3.1. IAMグループポリシーの確認

IAMグループのグループポリシーを確認します。

コマンド
aws iam list-attached-group-policies \
  --group-name ${IAM_GROUP_NAME}
結果(例)
      {
          "AttachedPolicies": [], 
          "IsTruncated": false
      }

3.2. IAMグループポリシーの適用

マネージドポリシーをIAMグループに適用します。

変数の確認
cat << ETX

        IAM_GROUP_NAME:  ${IAM_GROUP_NAME}
        IAM_GPOLICY_ARN: ${IAM_POLICY_ARN}

ETX
コマンド
aws iam attach-group-policy \
  --group-name ${IAM_GROUP_NAME} \
  --policy-arn ${IAM_POLICY_ARN}
結果(例)
      (戻り値なし)

3.3. IAMグループポリシーの確認

IAMグループのグループポリシーを確認します。

コマンド
aws iam list-attached-group-policies \
  --group-name ${IAM_GROUP_NAME}
結果
{
    "AttachedPolicies": [
        {
            "PolicyName": "AmazonRDSFullAccess", 
            "PolicyArn": "arn:aws:iam::aws:policy/AmazonRDSFullAccess"
        }
    ], 
    "IsTruncated": false
}
  1. ユーザの作成
    ===============

4.1. 作成

変数の確認
cat << ETX

        IAM_USER_NAME: ${IAM_USER_NAME}

ETX

IAMユーザを作成します。

コマンド
aws iam create-user \
  --user-name ${IAM_USER_NAME}
結果
      {
        "User": {
            "UserName": "rdsFull",
            "Path": "/",
            "CreateDate": "2015-01-18T02:03:54.449Z",
            "UserId": "AIDAIxxxxxxxxxxxxxxxx",
            "Arn": "arn:aws:iam::XXXXXXXXXXXX:user/rdsFull"
        }
      }

4.2. IAMユーザの確認

作成したIAMユーザが存在することを確認します。

コマンド
aws iam get-user \
  --user-name ${IAM_USER_NAME}
結果
      {
        "User": {
            "UserName": "rdsFull",
            "Path": "/",
            "CreateDate": "2015-01-18T02:03:01Z",
            "UserId": "AIDAxxxxxxxxxxxxxxxxxx",
            "Arn": "arn:aws:iam::XXXXXXXXXXXX:user/rdsFull"
        }
      }
  1. グループへのユーザ追加
    =========================

5.1. 追加

変数の確認
cat << ETX

        IAM_GROUP_NAME: ${IAM_GROUP_NAME}
        IAM_USER_NAME:  ${IAM_USER_NAME}

ETX

IAMユーザに権限を付与するために、IAMグループに追加します。

コマンド
aws iam add-user-to-group \
  --group-name ${IAM_GROUP_NAME} \
  --user-name ${IAM_USER_NAME}
結果
      (戻り値なし)

5.2. ユーザのグループ所属確認

IAMユーザが、IAMグループに所属していることを確認します。

コマンド
aws iam list-groups-for-user \
  --user-name ${IAM_USER_NAME} \
| jq -r --arg group_name ${IAM_GROUP_NAME} '.Groups[] | select( .GroupName == $group_name )'
結果
      {
        "Path": "/",
        "CreateDate": "2015-01-18T02:03:09Z",
        "GroupId": "AGPAxxxxxxxxxxxxxxxxx",
        "Arn": "arn:aws:iam::XXXXXXXXXXXX:group/rdsFull",
        "GroupName": "rdsFull"
      }

5.3. グループへのユーザ所属確認

IAMグループにIAMユーザが所属していることを確認します。

コマンド
aws iam get-group \
  --group-name ${IAM_GROUP_NAME} \
| jq -r --arg user_name ${IAM_USER_NAME} '.Users[] | select( .UserName == $user_name )'
結果
      {
        "UserName": "rdsFull",
        "Path": "/",
        "CreateDate": "2015-01-18T02:03:07Z",
        "UserId": "AIDAxxxxxxxxxxxxxxxxx",
        "Arn": "arn:aws:iam::XXXXXXXXXXXX:user/rdsFull"
      }
  1. ユーザのAPIアクセス設定
    ==========================

6.1. access keyの作成と取得

変数の確認
cat << ETX

        IAM_USER_NAME: ${IAM_USER_NAME}

ETX
コマンド
aws iam create-access-key \
  --user-name ${IAM_USER_NAME} > ${IAM_USER_NAME}.json \
  && cat ${IAM_USER_NAME}.json
結果
      {
        "AccessKey": {
            "UserName": "rdsFull",
            "Status": "Active",
            "CreateDate": "2015-01-18T03:57:05.919Z",
            "SecretAccessKey": "XXxxxxxXXXxXXXXxXXxXxXXXXXxxxXxXxXXXXXXX",
            "AccessKeyId": "AKIAxxxxxxxxxxxxxxxx"
        }
      }

6.2. 認証情報の作成

sourceディレクトリ作成

コマンド
mkdir -p ~/.aws/source
結果
      (戻り値なし)

rcファイル作成

コマンド
cat ${IAM_USER_NAME}.json |\
 jq '.AccessKey | {AccessKeyId, SecretAccessKey}' |\
 sed '/[{}]/d' | sed 's/[\" ,]//g' | sed 's/:/=/' |\
 sed 's/AccessKeyId/aws_access_key_id/' |\
 sed 's/SecretAccessKey/aws_secret_access_key/' \
 > ~/.aws/source/${IAM_USER_NAME}.rc \
        && cat ~/.aws/source/${IAM_USER_NAME}.rc
結果
aws_access_key_id=AKIAIOSFODNN7EXAMPLE      aws_secret_access_key=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

configファイル(単体)作成

変数の設定
REGION_AWS_CONFIG="${AWS_DEFAULT_REGION}"
変数の設定
FILE_USER_CONFIG="${HOME}/.aws/source/${IAM_USER_NAME}.config"

      echo "[profile ${IAM_USER_NAME}]" > ${FILE_USER_CONFIG} \
        && echo "region=${REGION_AWS_CONFIG}" >> ${FILE_USER_CONFIG} \
        && echo "" >> ${FILE_USER_CONFIG} \
        && cat ${FILE_USER_CONFIG}
結果
      [profile user-project-sample]
      region=ap-northeast-1

~/.aws/credentials作成

バックアップ
cp ~/.aws/credentials ~/.aws/credentials.old
コマンド
file="${HOME}/.aws/credentials"
if [ -e ${file} ]; then mv ${file} ${file}.bak; fi
      for i in `ls ${HOME}/.aws/source/*.rc`; do \
        name=`echo $i | sed 's/^.*\///' | sed 's/\.rc$//'` \
        && echo "[$name]" >> ${file} \
        && cat $i >> ${file} \
        && echo "" >> ${file} ;done \
        && cat ${file}
結果
      [user-project-sample]
      aws_access_key_id=AKIAIOSFODNN7EXAMPLE
      aws_secret_access_key=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

~/.aws/config作成

バックアップ
cp ~/.aws/config ~/.aws/config.old
コマンド
cat ${HOME}/.aws/source/*.config > ${HOME}/.aws/config \
        && cat ${HOME}/.aws/config
結果
      (略)

      [profile user-project-sample]
      region=ap-northeast-1
  1. ユーザの切り替え
    ===================

7.1. 現在のユーザの確認

変数の確認
aws configure list | grep profile
結果(例)
profile      iam_full-prjZ-mbp13              env    AWS_DEFAULT_PROFILE

7.2. 切替後ユーザの確認

変数の確認
cat << ETX

        new:     IAM_USER_NAME:       ${IAM_USER_NAME}

ETX

7.3. ユーザの切り替え

変数の設定
export AWS_DEFAULT_PROFILE=${IAM_USER_NAME}
echo ${AWS_DEFAULT_PROFILE}

7.4. コマンドテスト

コマンド
aws rds describe-db-instances
結果
      {
          "DBInstances": []
      }
  1. 認証ファイルの削除
    =====================
コマンド
rm ${IAM_USER_NAME}.json

ハンズオン時

ハンズオン前にやっておくとよいこと(任意): http://qiita.com/tcsh/items/c905a2d8777db4282804

ハンズオン後

ハンズオン実施後にやっておくべきこと(推奨): http://qiita.com/tcsh/items/dc966f6bd0380bda8905

完了

2
1
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
2
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?