はじめに
IAM管理と、awscliを実行するための手順を確認します。
IAMグループやIAMポリシーを設定し、必要最低限の権限を付与し、管理しやすくすることを目的とします。
GUI(Management Console)でAWSを操作するのも良いですが、再現性を高めるために、awscliの実行環境を準備します。
AWSのアカウントについて
AWSには、以下の3種類のアカウントが存在します
- AWSルートアカウント
- IAMユーザ
- IAMロール
セキュリティを重視すると、IAMロールをEC2インスタンスに付与し、インスタンス上からawscliを実行するのが望ましいですが、今回はローカル環境のLinuxからawscliを実行出来る環境を整備します。
IAMユーザの作成
ローカル環境のLinuxで、awscliを実行するように、まずはAWS上でIAMユーザを作成します
IAM Management Console を使用して、GUIでポチポチ作成します。
ユーザを作成すると、Access key ID と、 Secret access key が表示されます。これを利用してawscliでアクセスします。
| IAM Group Name | IAM User Name | Permissions | Usage |
|---|---|---|---|
| awscli-group | awscli-user | なし | 日常的に使用する awscli |
| awscli-policygroup | awscli-policyuser | IAMFullAccess | Policy管理のため、一時的に使用する awscli Policyを変更出来るため、Keyが漏れないように注意 |
| gui-group | gui-sugiyama | なし | Management Console |
環境情報
- OS : CentOS7.5
- pip : 18.0
- aws-cli : 1.15.80
pip経由でawscliを導入する
CentOS7の場合
awscli を導入します。ついでに便利と噂の aws-shell も導入しておきます。
wget https://bootstrap.pypa.io/get-pip.py
python get-pip.py
rm get-pip.py
pip install aws
pip install aws-shell --ignore-installed six
aws コマンドのバージョン確認
[root@sugi-awscli ~]# aws --version
aws-cli/1.15.80 Python/2.7.5 Linux/3.10.0-862.11.6.el7.x86_64 botocore/1.10.79
Ubuntu16.04の場合
wget https://bootstrap.pypa.io/get-pip.py
python get-pip.py
rm get-pip.py
pip install aws
pip install aws-shell
pythonの導入
CentOS7の場合
前提パッケージの導入
yum install -y zlib-devel bzip2 bzip2-devel readline-devel sqlite sqlite-devel openssl-devel gcc libffi-devel
pyenvを導入します
git clone https://github.com/pyenv/pyenv.git ~/.pyenv
echo 'export PYENV_ROOT="$HOME/.pyenv"' >> ~/.bash_profile
echo 'export PATH="$PYENV_ROOT/bin:$PATH"' >> ~/.bash_profile
echo 'eval "$(pyenv init -)"' >> ~/.bash_profile
source ~/.bash_profile
pyenvのversion確認
[root@sugi-awscli eks]# pyenv -v
pyenv 1.2.7-1-g7190216
python3.7.0の導入
pyenv install 3.7.0
3.7.0 を使用する指定
pyenv global 3.7.0
確認
[root@sugi-awscli eks]# python --version
Python 3.7.0
Ubuntu16.04の場合
前提パッケージの導入
apt install -y zlib1g-dev libssl-dev libffi-dev
git clone https://github.com/pyenv/pyenv.git ~/.pyenv
echo '#pyenv' >> ~/.bashrc
echo 'export PYENV_ROOT="$HOME/.pyenv"' >> ~/.bashrc
echo 'export PATH="$PYENV_ROOT/bin:$PATH"' >> ~/.bashrc
echo -e 'if command -v pyenv 1>/dev/null 2>&1; then\n eval "$(pyenv init -)"\nfi' >> ~/.bashrc
python3.7.0の導入
pyenv install 3.7.0
3.7.0 を使用する指定
pyenv global 3.7.0
確認
[root@sugi-awscli eks]# python --version
Python 3.7.0
bashの補完機能を設定
aws_completer がinstallされている場所を確認します
root@sigi-awscli-ubuntu:~# updatedb
root@sigi-awscli-ubuntu:~# locate aws_completer
/usr/local/bin/aws_completer
上記の場所を確認し、以下の定義を bashrc へ追加します
echo "complete -C '/usr/local/bin/aws_completer' aws" >> ~/.bashrc
awscliを IAMユーザと紐づける
awscli に2個のIAMユーザと紐づけます。まずは、通常的に使用する IAMユーザ「awscli-user」を default profile として紐づけます
aws configure
実行例
[root@sugi-awscli ~]# aws configure
AWS Access Key ID [None]: himitsu1
AWS Secret Access Key [None]: himitsu2
Default region name [None]: us-west-2
Default output format [None]: text
次に、IAM Policy を管理するためのユーザ「awscli-policyuser」を紐づけます
aws configure --profile managepolicy
実行例
[root@sugi-awscli ~]# aws configure --profile managepolicy
AWS Access Key ID [None]: himitsu3
AWS Secret Access Key [None]: himitsu4
Default region name [None]: us-west-2
Default output format [None]: text
IAMグループ「awscli-group」に権限付与
awscliで紐づけた通常的に使用する IAMグループ「awscli-group」には、何も権限が設定されていないため、動作確認のため一時的に権限付与を確認します。
コマンドの引数などが不明の場合は、helpを表示することが出来ます
aws iam attach-group-policy help
ポリシー「IAMReadOnlyAccess 」を、IAMグループ「awscli-group」アタッチします
aws --profile managepolicy iam attach-group-policy --policy-arn arn:aws:iam::aws:policy/IAMReadOnlyAccess --group-name awscli-group
awscliで実行してみる
iam サービスで Read Only の権限が付与されたため、下記のようにコマンドを実行できます
[root@sugi-awscli ~]# aws iam list-policies
POLICIES arn:aws:iam::aws:policy/AWSDirectConnectReadOnlyAccess 0 2015-02-06T18:40:08Z v2 True / 0 ANPAI23HZ27SI6FQMGNQ2 AWSDirectConnectReadOnlyAccess 2018-08-15T17:28:44Z
POLICIES arn:aws:iam::aws:policy/AmazonGlacierReadOnlyAccess 0 2015-02-06T18:40:27Z v2 True / 0 ANPAI2D5NJKMU274MET4E AmazonGlacierReadOnlyAccess 2016-05-05T18:46:10Z
POLICIES arn:aws:iam::aws:policy/AWSMarketplaceFullAccess 0 2015-02-11T17:21:45Z v3 True / 0 ANPAI2DV5ULJSO2FYVPYG AWSMarketplaceFullAccess 2018-08-08T21:13:02Z
POLICIES arn:aws:iam::aws:policy/AWSIoT1ClickReadOnlyAccess 0 2018-05-11T21:49:24Z v1 True / 0 ANPAI35VTLD3EBNY2JGXS AWSIoT1ClickReadOnlyAccess
IAMグループ「awscli-group」の権限削除
割り当てた権限を基に戻します
aws --profile managepolicy iam detach-group-policy --policy-arn arn:aws:iam::aws:policy/IAMReadOnlyAccess --group-name awscli-group