マネジメントコンソールの運用

よくあるポリシーとして、多要素認証の設定強制＆IP制限をかけることがあります。

今回はそのポリシーと私自身が注意していることを記載します。

概要

マネジメントコンソールはIAMユーザを使用する。

IAMはAWSの各種リソースへのアクセス許可を管理するサービスであり
結構細かい権限まで、**コードベース(JSON, IaCならYAML定義も可)**で管理できる。

各権限はIAMポリシーと呼ばれる単位で定義ができ、作成した後IAMユーザに割り当てる。
通常は同様権限のユーザが複数存在するため、IAMグループを使用して管理する。

例；
インフラチーム；Admin権限
開発チームA；全基本サービスの読み書き権限
開発チームB；EC2,Code系サービスのみ読み書き権限
テストチーム；Read権限のみ
監査チーム；セキュリティサービスのみRead権限
など

運用方法によるが、基本IP制限、MFA強制のポリシーは全員に対して有効にさせる必要があるので、
IAMグループにそれぞれ割り当てるか、共通に属する専用のグループを作成して、全ユーザに属させることで実現。

使用するIAMポリシー

IP制限

※適当なプライベートIPアドレスに変えてる

{
  "Version": "2012-10-17",
  "Statement": [
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": [
            "10.20.20.20/28",
            "10.10.10.10/32"
          ]
        }
      }
    }
  ]
}

「指定IPからのアクセス以外は、全てのアクションを拒否する」

前提として、このポリシーに加えて必要な権限のみをアタッチする運用。

単純にこのポリシーのみだと
指定したCIDRの範囲でアクセスすれば、全リソースへのアクセスを許可する。

例えばS3の権限のみポリシーがアタッチされているユーザであれば、
指定IPからのアクセスであればその権限が使用可能。

IAMのポリシーは、どんな場合でもDenyが最優先となる。
他のポリシーで拒否がかかればそのDenyポリシーが優先される。

MFA強制

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "NotAction": [
                "iam:CreateVirtualMFADevice",
                "iam:EnableMFADevice",
                "iam:ResyncMFADevice",
                "iam:DeactivateMFADevice",
                "iam:DeleteVirtualMFADevice",
                "iam:ListMFADevices",
                "iam:ListVirtualMFADevices",
                "iam:ListUsers"
            ],
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "aws:MultiFactorAuthPresent": false
                }
            }
        }
    ]
}

「MFAが有効でない場合は、MFA関連以外の全てのアクションを拒否する」

ちなみに拒否状態だとこういったコンソール画面になります。

Tips

IAMの権限を設定したけど適切かどうか検証するのが大変ですが
IAM Policy Simulatorを使用すると便利です。

IAMのグループ画面 > アクセス許可 > ポリシーのシミュレート　等から使用できます。

また、注意点として、Adminユーザが自身のアクセス権限を変更する際は
もう一人のAdminユーザを別に用意しておきましょう。。

間違うと自分の権限をロックしてしまってrootを引っ張ってくる事態になりかねないです。

まとめ

IAMは絞ろうと思えば極限まで絞れます。
ただ、はじめは検証を重ねて時間がかかること多いです。

開発段階では無理せずAWSマネージドポリシーを使用しつつ、
余裕があるときに絞っていく方針が良いのではと思います。