Authyを利用して二段階認証を設定し、AWSアカウントを保護する

AWSアカウントの乗っ取り防止のために、利用していきます

インストール

iOS版

Android版

導入

二段階認証アプリ[Authy]が[Google Authenticator]よりも優れている理由

AWSにサインイン
画面右上のユーザー名をクリック
「マイセキュリティ資格情報」をクリック
多要素認証（MFA）の「MFAを有効化」をクリック（青いボタン）
「仮想 MFA デバイス」を選択して、「続行」をクリック
「仮想 MFA デバイスの設定」画面で「QRコードを表示」をクリック

7. スマホにインストールした、【Authy】を起動する
8. Authyで「Accounts」を開く
9. 「＋」ボタンをクリック

10. QRコードを読み込む画面が表示されるので、AWS画面上で表示させたQRコードを読み込ます。

11. 【Authy】アプリ上で6桁の認証番号が表示されます

12. AWSのMFA認証コードを入力欄を見る

13. スマホアプリ上で表示されている、認証コード6桁を「MFAコード1」に入力
14. 続いて、30秒経過して新しく表示された認証コード6桁を「MFAコード2」に入力
（上段には1回目のパスワードを、下段には1回目のパスワードを制限時間切れまで待って、2回目のパスワードが表示されたらそのパスワードを入力します。）

15. 「MFAの割り当て」をクリック

16. 完了

これでログイン時、メールアドレスとパスワードだけではなく、Authyの6桁の番号が必要となります。アカウントの乗っ取りなどを防げます。

IAMユーザーの利用

IAMユーザーは、AWSのサービスの1つです。
最初にメールアドレスで作成した、AWSアカウントはルートユーザーと呼ばれ、全ての機能を使うことができます。そのため、万が一ルートユーザーのID・パスワードが漏洩し悪用されると、第三者が全ての機能を使われてしまいます。

それを防ぐために、機能を制限したユーザーを作成し、通常の作業はそのユーザーでログインし行うようにします。この機能を制限したユーザーを作成する機能がIAMです。

IAMユーザーを作成

AWSのページで検索をする

それか、
画面下のセキュリティの項目にあるため、下にスクロールして「IAM」をクリック

「IAMリソース」の画面が表示されました。

2. 「個々のIAMユーザーの作成」のタブを開く

3. 「ユーザー管理」をクリック

4. ユーザー管理画面が開かれる

5. 「ユーザーを追加」をクリック

6. ユーザー名を入力します

7. そして、「プログラムによるアクセス」を選択します

8. 画面右下の「次のステップ: アクセス権限」をクリック

9. 「既存のポリシーを直接アクセス」を選択し、「AmazonS3FullAccess」を選択。

10. 「次のステップ：タグ」

11. タグを設定すれば、役職などをタグづけできますが、今回は不要なので何もしないで「次のステップ：確認」をクリック

12. 確認ページが表示されるので、「ユーザーの作成」をクリック

13. ⚠️「.CSV」をダウンロードします

14. 閉じる
15. 追加されたユーザーを選択

「認証情報」を開く
「コンソールのパスワード」の管理を選択する

18. コンソールへのアクセス「有効化」、パスワードの設定「動生成パスワード」

19. 「適用」をクリック
20. 「.csvをダウンロード」

21. 閉じる
22. IAMユーザーのMFAの有効化するため、「MFAデバイスの割り当て」の管理をクリック
23. 同様にQRコードを読み取り、MFAコードを入力すれば完了

IAMでサインインする

先ほどダウンロードした.CSVファイルを開く

すると、

user name
Password
ログインするためのURL

の３つの要素が記述されています。
これを利用すればログイン可能です。

まずは　Console login linkのURLを開く
user名とPWを入力して、ログイン
MFAコードが要求されたら、Authyで表示された番号を入力しよう
するとログインができます

git-secretsを導入し、AWSの情報をコミットしないようする

ターミナルから、Homebrewを経由してgit-secretsを導入します。

ターミナル

$ cd
$ brew install git-secrets

git-secretsが導入できたら、設定を適用したいリポジトリに移動して、git-secretsを有効化します。

ターミナル

$ cd アプリ名
$ git secrets --install

これで、有効化を行なったリポジトリでgit-secretsを使用する準備ができました。
続いて、「どのようなコードのコミットを防ぐのか」を設定する。

条件設定の確認

下記のコマンドを実行することで、secret_key, access_keyなど、アップロードしたくないAWS関連の秘密情報を一括で設定することができます。

ターミナル

$ git secrets --register-aws --global

現在のgit-secretsの設定は、下記のコマンドで確認することができます。

ターミナル

$ git secrets --list

secrets.providers git secrets --aws-provider
secrets.patterns [A-Z0-9]{20}
secrets.patterns ("|')?(AWS|aws|Aws)?_?(SECRET|secret|Secret)?_?(ACCESS|access|Access)?_?(KEY|key|Key)("|')?\s*(:|=>|=)\s*("|')?[A-Za-z0-9/\+=]{40}("|')?
secrets.patterns ("|')?(AWS|aws|Aws)?_?(ACCOUNT|account|Account)_?(ID|id|Id)?("|')?\s*(:|=>|=)\s*("|')?[0-9]{4}\-?[0-9]{4}\-?[0-9]{4}("|')?
secrets.allowed AKIAIOSFODNN7EXAMPLE
secrets.allowed wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

これで、git secrets --installを行なったリポジトリでは、コミット時にAWSの秘密情報を含んだコードがないかチェックされるようになりました。

「うっかりパスワードをGithubに載せてしまった」という事態を防ぐことができるので、必ず設定を行うようにしましょう。

## 今後作成する全てのリポジトリにgit-secretsが適用させる
以下のコマンドを実行して自動で適用されるにする

ターミナル

$ git secrets --install ~/.git-templates/git-secrets
$ git config --global init.templatedir '~/.git-templates/git-secrets'

GitHub Desktopからgit secretsを利用する

Github Desktopがapplicationフォルダに存在している必要があります。

GitHub Desktop経由でgit secretsを利用する場合は、追加の設定をします。
まず以下を実行

ターミナル

$ sudo cp /usr/local/bin/git-secrets /Applications/GitHub\ Desktop.app/Contents/Resources/app/git/bin/git-secrets

No such file or directory

のエラーが表示される場合、ディレクトリが異なるため下記を実行

ターミナル

$ sudo cp /usr/local/bin/git-secrets /Applications/GitHub\ Desktop.app/Contents/Resources/git/bin/git-secrets

AWS IAMとAuthyによる二段階認証を設定する

Authyを利用して二段階認証を設定し、AWSアカウントを保護する

インストール

導入

IAMユーザーの利用

IAMユーザーを作成

IAMでサインインする

git-secretsを導入し、AWSの情報をコミットしないようする

条件設定の確認

GitHub Desktopからgit secretsを利用する