このハンズオンについて

この手順は、JAWS-UG CLI専門支部 #58 KMS入門で実施したものです。

前提条件

必要な権限

作業にあたっては、以下の権限を有したIAMユーザもしくはIAMロールを利用してください。

KMSに対するフルコントロール権限
S3に関するフルコントロール権限
STSに関するフルコントロール権限
IAMに関するフルコントロール権限

0. 準備

0.1. リージョンを指定

コマンド

export AWS_DEFAULT_REGION='ap-northeast-1'

0.2. 資格情報を確認

コマンド

aws configure list

インスタンスプロファイルを設定したEC2インスタンスでアクセスキーを設定せずに実行した場合、以下のようになります。

結果

Name                    Value             Type    Location
----                    -----             ----    --------
profile                <not set>             None    None
access_key     ****************RDPA         iam-role
secret_key     ****************9GA8         iam-role
region           ap-northeast-1              env    AWS_DEFAULT_REGION

0.3. バージョン確認

コマンド

aws --version

結果

aws-cli/1.10.56 Python/2.7.10 Linux/4.4.15-25.57.amzn1.x86_64 botocore/1.4.46

0.4. バージョンアップ（必要に応じて）

コマンド

sudo pip install -U awscli

0.5. 変数の設定

コマンド

USER_NAME='jawsug-cli-user'
USERS_PROFILE_NAME=${USER_NAME}

AWS_ID=$(aws sts get-caller-identity \
    --query Account \
    --output text) \
    && echo ${AWS_ID}

ALIAS="alias/cli-handson0815"

KEY_ID=$(aws kms list-aliases \
    --query "Aliases[?AliasName == \`${ALIAS}\`].TargetKeyId" \
    --output text) \
    && echo ${KEY_ID}

1. ポリシーのアタッチ

一般ユーザに対してS3に対する権限を付与し、S3のデータを暗号化します。（Server-Side Encryption）

1.0 ユーザの切り替え

ここで、最初に利用していた認証情報に切り替えます。

インスタンスプロファイルを利用していた場合は、環境変数をリセットしてください。

コマンド

unset AWS_DEFAULT_PROFILE

コマンド

aws configure list

結果

      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile                <not set>             None    None
access_key     ****************EPRQ         iam-role
secret_key     ****************RQyb         iam-role
    region           ap-northeast-1              env    AWS_DEFAULT_REGION

別のプロファイルを利用していた場合には、プロファイルを切り替えてください。

コマンド

export AWS_DEFAULT_PROFILE='（切り替え前のプロファイル名）'

コマンド

aws configure list

1.1. ARNの確認

コマンド

aws iam list-policies \
    --scope "AWS"

結果

（省略）

1.2. ARNの指定

コマンド

ARN_S3='arn:aws:iam::aws:policy/AmazonS3FullAccess'

1.3. Managed Policyのアタッチ

変数の確認

コマンド

cat << ETX

    ARN_for_S3: ${ARN_S3}
    USER_NAME: ${USER_NAME}

ETX

Managed Policyのアタッチ

コマンド

aws iam attach-user-policy \
    --user-name ${USER_NAME} \
    --policy-arn ${ARN_S3}

結果

（戻り値無し）

1.4. アタッチされたポリシーの確認

コマンド

aws iam list-attached-user-policies \
    --user-name ${USER_NAME}

結果

{
    "AttachedPolicies": [
        {
            "PolicyName": "AmazonS3FullAccess",
            "PolicyArn": "arn:aws:iam::aws:policy/AmazonS3FullAccess"
        }
    ]
}

2. ユーザの切り替え

2.1. 現在のユーザの確認

あとで現在の状態に戻るため、結果を控えておいてください。（以下の結果は、インスタンスプロファイルを利用している場合）

コマンド

aws configure list

結果（例）

      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile                <not set>             None    None
access_key     ****************CIIA         iam-role
secret_key     ****************wGIk         iam-role
    region           ap-northeast-1              env    AWS_DEFAULT_REGION

2.2. 切替後ユーザの確認

コマンド

cat << ETX

    USERS_PROFILE_NAME: ${USERS_PROFILE_NAME}

ETX

結果


    USERS_PROFILE_NAME: jawsug-cli-user

2.3. ユーザの切り替え

コマンド

export AWS_DEFAULT_PROFILE=${USERS_PROFILE_NAME}

2.4. 認証情報の確認

コマンド

aws configure list

結果

      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile          jawsug-cli-user           manual    --profile
access_key     ****************QNVA shared-credentials-file
secret_key     ****************fTJ+ shared-credentials-file
    region           ap-northeast-1              env    AWS_DEFAULT_REGION

3. バケットの作成

3.1. バケット名の指定

コマンド

BUCKET_NAME="kms-test-${AWS_ID}" \
    && echo ${BUCKET_NAME}

3.2. バケットの不存在を確認

コマンド

aws s3 ls s3://${BUCKET_NAME}

結果

An error occurred (NoSuchBucket) when calling the ListObjects operation: The specified bucket does not exist

3.3. 変数の確認

コマンド

cat << ETX

    BUCKET_NAME: ${BUCKET_NAME}

ETX

結果


    BUCKET_NAME: kms-test-************

3.4. バケットの作成

コマンド

aws s3 mb s3://${BUCKET_NAME}

結果

make_bucket: s3://kms-test-************/

3.5. バケットの存在を確認

コマンド

aws s3 ls | grep ${BUCKET_NAME}

結果

2016-08-07 05:33:25 kms-test-************

4. データのアップロード

4.1. ファイルの生成

コマンド

DATA_FILE='test.txt'

cat << EOF > ${DATA_FILE}
hogehoge
EOF

cat ${DATA_FILE}

結果

hogehoge

4.2. 署名の確認

**All AWS KMS operations require Signature Version 4 .**とのこと。

コマンド

aws configure get s3.signature_version \
    --profile ${USERS_PROFILE_NAME}

結果

（戻り値無し）

4.3. 署名の設定

コマンド

aws configure set s3.signature_version s3v4 \
    --profile ${USERS_PROFILE_NAME}

結果

（戻り値無し）

4.4. 署名の確認

コマンド

aws configure get s3.signature_version \
    --profile ${USERS_PROFILE_NAME}

結果

s3v4

コマンド

cat ~/.aws/config

結果（例）

[profile jawsug-cli-user]
region = ap-northeast-1
s3 =
    signature_version = s3v4

4.5. ファイルのアップロード（パラメータの確認）

コマンド

cat << ETX

    DATA_FILE: ${DATA_FILE}
    BUCKET_NAME: ${BUCKET_NAME}
    KEY_ID: ${KEY_ID}

ETX

結果


    DATA_FILE: test.txt
    BUCKET_NAME: kms-test-************
    KEY_ID: ********-****-****-****-************

4.6. ファイルのアップロード

コマンド

aws s3 cp ${DATA_FILE} s3://${BUCKET_NAME}/${DATA_FILE} \
    --sse-kms-key-id ${KEY_ID} \
    --sse aws:kms

結果

upload: ./test.txt to s3://kms-test-************/test.txt

4.7. アップロードされたファイルの確認

コマンド

aws s3api head-object \
    --bucket ${BUCKET_NAME} \
    --key ${DATA_FILE}

結果

{
    "AcceptRanges": "bytes",
    "ContentType": "text/plain",
    "LastModified": "Mon, 01 Aug 2016 10:18:49 GMT",
    "ContentLength": 9,
    "ETag": "\"********************************\"",
    "ServerSideEncryption": "aws:kms",
    "SSEKMSKeyId": "arn:aws:kms:ap-northeast-1:************:key/********-****-****-****-************",
    "Metadata": {}
}

5. ファイルのダウンロード

5.1. ダウンロードしたデータのファイル名を指定

コマンド

DOWNLOADED_DATA_FILE='test_downloaded.txt'

5.2. ファイルのダウンロード

コマンド

aws s3 cp s3://${BUCKET_NAME}/${DATA_FILE} ${DOWNLOADED_DATA_FILE}

5.3. データの確認

コマンド

cat ${DOWNLOADED_DATA_FILE}

結果

hogehoge

アップロード時に暗号化する以外は、透過的に操作できました。

以上