はじめに
terraformからrole作成時に下記のエラーが出たので調査してみました。
creating IAM Role (): InvalidClientTokenId: The security token included in the request is invalid
実行環境
- cloud9
- terraform
結論
CLIクレデンシャルが設定できていませんでした。
。。。。がオチだと思っていたのですが、
実際のところ、
『Cloud9 インスタンスプロファイルをデフォルトから他のIAMロールに変更』が必要だったみたいです。
でもせっかく調査したので、CLIクレデンシャルのアレコレまとめ
-
マネコンからログインしているIAMユーザのアクセスキーID&シークレットアクセスキーの取得
-
cloud9のターミナル上で設定
$ aws configure
AWS Access Key ID [None]: {アクセスキーID}
AWS Secret Access Key [None]: {シークレットアクセスキー}
Default region name [None]: ap-northeast-1
Default output format [None]: json
- defaultの認証情報プロファイルの確認
$ cat credentials
[default]
aws_access_key_id = {アクセスキーID}
aws_secret_access_key = {シークレットアクセスキー}
➡接続できない場合は、credentialsにaws_session_token=XXXXXXXXXを追記する
- ~/.aws/configに認証情報のプロファイルを設定
[profile sample]
region=ap-northeast-1
mfa_serial={MFAが有効になっている個人アカウントのiamロール}
role_arn={スイッチしたい別アカウントのiamロール}
source_profile=default
解決策
-
cloud9のインスタンスプロファイルの確認
デフォルトのインスタンスプロファイル（AWSCloud9SSMInstanceProfile）が割り当てられている。
➡デフォルトのIAMロールだと権限が足りないためIAM権限の設定ができない -
Cloud9からAWS managed temporary credentialsのスイッチを「OFF」
-
IAMロールを作成
EC2タイプの『AdministratorAccess』を選択 -
EC2インスタンス(Cloud9)のIAMロールを2で作ったものに変更
-
ロールの変更を反映させるためにEC２インスタンスを再起動
(追記)
あるいは、既存のIAMロールに以下のポリシーを追加してもよさそうです。
- PowerUserAccess
- IAMFullAccess
強い権限を与えているため、セキュリティ的にはアレですが、ひとまずこれが動くようになりました。適切な権限付与等は今後引き続き勉強してみようと思います。
参考
https://dev.classmethod.jp/articles/aws-cli_initial_setting/
https://qiita.com/mokkos/items/7de9793ea37528e11e3e
https://go-journey.club/archives/17029