More than 1 year has passed since last update.

AWS CloudFormationを利用してIAMユーザを作成してみた

Posted at 2022-07-19

【はじめに】

個人でAWSアカウントを複数持つことはあまりないと思いますが、会社組織では部署や役割ごとに複数のアカウントを所有することは当たり前のようにあります。

会社組織でインフラ構築をする際に、ルートユーザに代わりAdmin権限を持つIAMユーザを作成することでアカウントを管理することが推奨されています。

そこで今回は、AWS CloudFormationを利用して複数のアカウントに同じAdmin権限を持った初期IAMユーザを作成する方法を解説していきます。

AWS無料枠内で利用できますので、今後のキャリアを見据えて、是非操作してみましょう。

本記事の内容

AWS CloudFormationを利用するメリットは？
実際にAWS CloudFormationを利用してIAMユーザを作成してみる
作成したリソースを確認する
作成したリソースを削除する（スタックとIAMユーザの削除）

【AWS CloudFormationを利用するメリットは？】

AWS CloudFormationはリソースの設定やプロビジョニングをコード化して実行できるシステム環境構築サービスです。

テンプレートからスタックを作成して、インフラの一括管理を行うため、開発者がそれぞれのリソースを個別に管理するよりもミスが発生しにくくなります。

また、人的ミスを防ぐだけではなく、環境の構築に時間や手間がかからないため、より簡単にリソースを管理・運用することができます。

【実際にAWS CloudFormationを利用してIAMユーザを作成してみる】

実際に、AWS CloudFormationを利用して複数のアカウントに同じAdmin権限を持った初期IAMユーザを作成していきます。

まずは要件を確認していきましょう。

要件

Admin権限を持つ初期 IAM ユーザ（管理者用）を作成する

グループ名：Admin-group-{アカウントID}
ユーザー名：Admin-user-{アカウントID}
グループに「AdministratorAccess」ポリシーアタッチ
パスワードの設定自体は各IAMユーザで設定する想定
ログインURLとパスワード設定画面のURLとユーザ名をOutputに出力
オプション：対象スタックを削除してもリソースを保持する

以上の要件でAWS CloudFormationのテンプレートを作成してきます。

AWS CloudFormationテンプレート

今回はJSONでテンプレートを作成しました。

templete-create-IAM-admin-user

{
    "AWSTemplateFormatVersion" : "2010-09-09",

    "Description" : "Templete for creating Initial Administrator IAM",

    "Resources": {
        "IAMGroupInitialAdministrator":{
            "Type": "AWS::IAM::Group",
            "DeletionPolicy": "Retain",
            "Properties":{
                "GroupName":{"Fn::Join" : [
                    "",
                    ["Admin-group-", {"Ref": "AWS::AccountId"}]
                  ]},
                "ManagedPolicyArns" : [
                    "arn:aws:iam::aws:policy/AdministratorAccess"
                ]
            }
        },
        "IAMUserInitialAdministrator":{
            "Type": "AWS::IAM::User",
            "DeletionPolicy": "Retain",
            "Properties":{
                "UserName": {"Fn::Join" : [
                    "",
                    ["Admin-user-", {"Ref": "AWS::AccountId"}]
                    ]},
                "Groups": [{"Fn::Join": [
                    "",
                    ["Admin-group-", {"Ref": "AWS::AccountId"}]
                    ]}
                ]
            }
        }
    },
    "Outputs": {
        "UserName": {
            "Description": "Info about User name",
            "Value": {"Ref" : "IAMUserInitialAdministrator"}
        },
        "PasswordSettingURL": {
            "Description": "Please create a password at the URL",
            "Value": {"Fn::Join": [
                "",
                ["https://","console.aws.amazon.com/iam/home?region=",{"Ref": "AWS::Region"},"#/users/",{"Ref": "IAMUserInitialDeveloper"},"?section=security_credentials"]
            ]}
        },
        "LoginURL": {
            "Description": "Info about console login URL",
            "Value": {"Fn::Join" : [
                "",
                ["https://",{"Ref": "AWS::AccountId"}, ".signin.aws.amazon.com/console"]
            ]}
        }
    }
}

テンプレートの各セクションに沿って解説していきます。

AWSTempleteFormatVersion（必須）

2022年7月時点では、公式サイトに以下のように記載されています。

AWSTemplateFormatVersion セクション (任意) は、テンプレートの機能を識別します。最新のテンプレートの形式バージョンは 2010-09-09 であり、現時点で唯一の有効な値です。

"AWSTemplateFormatVersion" : "2010-09-09",

Description（オプション）

作成するテンプレートの説明を書きます。管理者用のIAM ユーザの作成ということで以下のように追記します。

"Description" : "Templete for creating Initial Administrator IAM",

Resources（必須）

スタックに含めるAWS リソースを宣言します。

"Resources" : {
    "Logical ID" : {
        "Type" : "Resource type",
        "Properties" : {
            Set of properties
        }
    }
}

リソースには、3つのフィールドで構成されています。

論理ID（Logical ID）

テンプレートの他の部分のリソースを参照するために使用します。--中略--たとえば、EC2 インスタンスリソースに MyEC2Instance の論理 ID を指定します。AWS CloudFormation がインスタンスを作成すると、AWS CloudFormation は自動的に物理 ID (i-28f9ba55) を生成して、インスタンスに割り当てます。この物理 ID を使用して、Amazon EC2 コンソールでインスタンスを特定したり、そのプロパティ (DNS 名など) を表示したりすることができます。カスタム名をサポートしているリソースの場合は、リソースをすばやく識別するために、独自の名前 (物理 ID) を割り当てることができます。

今回では、作成するIAMグループとIAMユーザに対して以下のように論理IDを指定します。

"Resources" : {
	"IAMGroupInitialAdministrator" : {

	},
	"IAMUserInitialAdministrator" : {

	},

}

リソースタイプ

リソースタイプは、宣言しているリソースのタイプを識別します。たとえば、AWS::EC2::Instance は EC2 インスタンスを宣言します。

今回はIAMの中でもグループとユーザに関わるリソースタイプを指定します。

"Resources" : {
	"IAMGroupInitialAdministrator" : {
		"Type": "AWS::IAM::Group",

	},
	"IAMUserInitialAdministrator" : {
		"Type": "AWS::IAM::User",

	},

}

リソースプロパティ

リソースプロパティは、リソースに対して指定できる追加オプションです。

今回、グループには「グループ名」と「ポリシー」、ユーザには「ユーザ名」と「グループ名」をプロパティとして指定します。

"Resources": {
        "IAMGroupInitialAdministrator":{
        	"Type": "AWS::IAM::Group",
            	"DeletionPolicy": "Retain",
            	"Properties":{
                	"GroupName":{"Fn::Join" : [
                    	"",
                    	["Admin-group-", {"Ref": "AWS::AccountId"}]
                  	]},
                	"ManagedPolicyArns" : [
                    		"arn:aws:iam::aws:policy/AdministratorAccess"
                	]
            	}
        },
        "IAMUserInitialAdministrator":{
            	"Type": "AWS::IAM::User",
            	"DeletionPolicy": "Retain",
            	"Properties":{
                	"UserName": {"Fn::Join" : [
                    		"",
                    		["Admin-user-", {"Ref": "AWS::AccountId"}]
                    		]},
                	"Groups": [{"Fn::Join": [
                    		"",
                    		["Admin-group-", {"Ref": "AWS::AccountId"}]
                    		]}
                	]
            	}
        }
},

ポイント

IAMリソースに名前を付けると、複数のRegionで同じテンプレートを再利用した場合、回復不能なエラーが発生することがあります。これを防ぐには、以下の例のようにFn::JoinとAWS::Regionを使ってリージョン固有の名前を作成することをお勧めします。{"Fn::Join": ["", [{"Ref": "AWS::Region"}, {"Ref": "MyResourceName"}]]}.

公式サイトに記載のあるように、一意のIAMグループとユーザ名を作成するために"Fn:Join": ["", ["Admin-group(user)-",{"Ref": "AWS::AccountId"}]] と指定します。

Outputs（オプション）

出力内容の記述をします。今回は、ユーザ名とパスワード設定画面のURLとログインURLを出力します。

"Outputs" : {
  	"Logical ID" : {
   		"Description" : "Information about the value",
    		"Value" : "Value to return",
    		"Export" : {
      			"Name" : "Value to export"
    		}
  	}
}

Outputsには、4つのフィールドで構成されています。

論理ID（Logical ID）

現在の出力の識別子。論理 ID は英数字 (a–z、A–Z、0–9) とし、テンプレート内で一意である必要があります。

今回では、「ユーザ名」、「パスワード設定画面のURL」、「ログイン画面のURL」を出力します。

"Outputs" : {
	"UserName" : {
    
  	},
	"PasswordSettingURL": {
	
	},
	"LoginURL": {

	}
}

Description（オプション）

出力値について説明する String 型。

以下のように、各出力項目に対して説明を記述します。

"Outputs" : {
	"UserName" : {
 		"Description": "Info about User name",

  	},
	"PasswordSettingURL": {
		"Description": "Please create a password at the URL",
	
	},
	"LoginURL": {
		"Description": "Info about console login URL",

	}
}

Value（必須）

aws cloudformation describe-stacks コマンドから返されるプロパティの値。

実際に出力される値を以下のように指定します。

"Outputs" : {
	"UserName" : {
 		"Description": "Info about User name",
		"Value": {"Ref" : "IAMUserInitialAdministrator"}
  	},
	"PasswordSettingURL": {
		"Description": "Please create a password at the URL",
		"Value": {"Fn::Join": [
                "",
                ["https://","console.aws.amazon.com/iam/home?region=",{"Ref": "AWS::Region"},"#/users/",{"Ref": "IAMUserInitialAdministrator"},"?section=security_credentials"]
            ]}
	},
	"LoginURL": {
		"Description": "Info about console login URL",
		"Value": {"Fn::Join" : [
                "",
                ["https://",{"Ref": "AWS::AccountId"}, ".signin.aws.amazon.com/console"]
            ]}
	}
}