AWS CLI で MFA を有効化してみた

はじめに

前回の記事では、セルフサービスな MFA 環境を作るための IAM Policy の方法を学びました。今回は、AWS CLI から MFA を利用するときの方法を整理したいと思います。

　

まず、前提知識として整理すると、AWS のマネージメントコンソールで MFA を有効化する設定項目があります。

　

これを有効化すると、マネージメントコンソールにログインするときに、MFA 認証が求められます。

　

この機能を有効化しただけでは、この IAM User に紐づくアクセスキーをつかった AWS CLI の実行には何も影響しません。表現を変えると、アクセスキーを払い出したら、MFA 関係なくいろいろな API が実行できるわけですね。

これだと困るので、IAM Policy で MFA が無いときにアクセスを禁止するルールを設定すると、AWS CLI でも MFA が有効になります。すごいシンプルな例だと、以下のとおりです。MultiFactorAuthPresent が false のときには、全てのアクションを禁止にしています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllDenyWithoutMFA",
            "Effect": "Deny",
            "Action": [
                "*"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": false
                }
            }
        }
    ]
}

　

なお、前回の記事でこれと同等な IAM Policy を設定していたので、この記事を参考にすると、すでに AWS CLI でも MFA が有効になっています。ちょっと試してみましょう。

アクセスキーの生成

上記の IAM Policy を紐づけている User でアクセスキーを生成します。

AWS CLI の Profile を作成します。

> aws configure --profile mfa
AWS Access Key ID [None]: secret1
AWS Secret Access Key [None]: secret2
Default region name [None]: ap-northeast-1
Default output format [None]: json

きちんと設定されました

> aws sts get-caller-identity --profile mfa
{
    "UserId": "AIDA5WQZQQ3JP5PXAB573",
    "Account": "xxxxxxxx",
    "Arn": "arn:aws:iam::xxxxxxx:user/mfauser01"
}

AWS CLI が利用できない

アクセスキーを設定しても、MFA を使っていないので AWS CLI の実行ができません。想定通りですね。

> aws ec2 describe-instances --profile mfa

An error occurred (UnauthorizedOperation) when calling the DescribeInstances operation: You are not authorized to perform this operation.

> aws s3 ls --profile mfa

An error occurred (AccessDenied) when calling the ListBuckets operation: Access Denied

AWS CLI で MFA を入力する

AWS CLI で MFA を利用するときには、aws sts get-session-token コマンドで一時的なアクセスキーを取得できます。このコマンドを実行するために、MFA Device の ARN が必要です。

マネージメントコンソール上で ARN を確認してコピーします。

　

aws sts get-session-token コマンドを実行します。

• serial-number : コピーしてきた MFA Device の ARN を指定
• token-code : この MFA Device が生成する 6 桁の数字を指定

aws sts get-session-token \
  --serial-number arn:aws:iam::xxxxxxxxx:mfa/test-mfa3 \
  --token-code 627292 \
  --profile mfa

　

入力した値が正しければ、12 時間だけ使える一時的なアクセスキーが発行されます。永続的なものではないので、万が一流出しても 12 時間後には使えないため、セキュリティレベルが向上するわけですね。

{
    "Credentials": {
        "AccessKeyId": "secret1",
        "SecretAccessKey": "secret2",
        "SessionToken": "secret3",
        "Expiration": "2022-12-29T15:19:29+00:00"
    }
}

　

一時的に取得したアクセスキーは、export で環境変数に入れたりすると実際に AWS CLI で使えます。bash ですが、次のように簡単に環境変数に入れられます。Bash Script など作ってもいいかもしれないですね。

OUTPUT=$(aws sts get-session-token \
  --serial-number arn:aws:iam::xxxxxxxx:mfa/test-mfa3 \
  --token-code 311758 \
  --profile mfa)

export AWS_ACCESS_KEY_ID=$(echo $OUTPUT | jq -r .Credentials.AccessKeyId)
export AWS_SECRET_ACCESS_KEY=$(echo $OUTPUT | jq -r .Credentials.SecretAccessKey)
export AWS_SESSION_TOKEN=$(echo $OUTPUT | jq -r .Credentials.SessionToken)

　

さきほどまではエラーだったコマンドが実行できました。

$ aws ec2 describe-instances
{
    "Reservations": [
        {
            "Groups": [],
            "Instances": [
                {
                    "AmiLaunchIndex": 0,
                    "ImageId": "ami-0adb5d1dc8c5aa555",
                    "InstanceId": "i-0b5a7eef21d818f5b",
                    "InstanceType": "t2.large",
省略

$ aws s3 ls
2021-06-24 01:51:35 testsugi001001
2021-05-03 02:04:08 vmimport-bucket-sugi01
2021-07-23 22:33:00 vpcflowlogs001
2021-06-24 01:56:50 webpushtest-sugi01

便利ツール

AWS CLI 上で、毎回環境変数にセットするのは大変なので、次のツールや Shell Script が紹介されていました。このあたりを利用すると、とても便利になると思います。

Tips : 有効期限の指定

duration-seconds をオプションで指定することで、一時的なクレデンシャルの有効期限を指定可能。最大値は 129600 (36 時間) となる。

aws sts get-session-token \
  --serial-number arn:aws:iam::xxxxxxxx:mfa/test-mfa3 \
  --token-code 812568 \
  --duration-seconds 129600 \
  --profile mfa

検証を通じてわかったこと

• AWS マネージメントコンソールで MFA を設定にしただけでは、AWS CLI 側には何も影響しない。MFA なくてもコマンド実行ができる
• 上記を防ぐために、IAM Policy で MultiFactorAuthPresent を使ったルールを指定することで、AWS CLI を経由した API 実行でも MFA を強制できる
• AWS CLI 上では、get-session-token コマンドで MFA のトークンを入力すると、一時的なクレデンシャル情報を取得可能
• 一時的なクレデンシャルは、デフォルトだと 12 時間で有効期限がきれる。duration-seconds を指定することで、最大 36 時間まで伸ばせる。

参考 URL

AWSコンソールとCLI利用時にMFA認証を必須にする
https://www.karakaram.com/requiring-mfa-authentication-when-using-aws-console-and-cli/

AWS: MFA で認証された IAM ユーザーが [My Security Credentials] (マイセキュリティ資格情報) ページで自分の認証情報を管理できるようにする
https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reference_policies_examples_aws_my-sec-creds-self-manage.html

AWS CLI で MFA 必須のアクセス制御を設定
https://blog.nijot.com/aws/aws-cli-mfa-force-setting/