AWS CLIを利用して、IAMへのフルアクセスとCloudFormationの利用が可能なIAMユーザを作成してみます。

[JAWS-UG CLI] IAM:#16 IAM-Full+CFグループの作成 (ユーザ管理ポリシの利用) http://qiita.com/tcsh/items/29d067621022ac9569e9 で作成したIAMグループに所属するユーザを作成します。

前提条件

IAMへの権限

IAMに対してフル権限があること。

AWS CLIのバージョン

以下のバージョンで動作確認済
- AWS CLI 1.7.39
- AWS CLI 1.7.22
- AWS CLI 1.7.18

コマンド

aws --version

結果(例)

aws-cli/1.7.39 Python/2.7.5 Darwin/13.4.0

準備
=======

0.1. リージョンの決定

作成するユーザのデフォルトリージョンを決めます。
(カレントユーザが利用するカレントリージョンも切り変わります。)

コマンド(東京リージョンの場合)

export AWS_DEFAULT_REGION='ap-northeast-1'

0.2. 変数の確認

プロファイルとリージョンが想定のものになっていることを確認します。

変数の確認

aws configure list

結果(例)

            Name                    Value             Type    Location
            ----                    -----             ----    --------
         profile       iamFull-prjZ-mbp13              env    AWS_DEFAULT_PROFILE
      access_key     ****************LOAQ shared-credentials-file
      secret_key     ****************I1O1 shared-credentials-file
          region           ap-northeast-1              env    AWS_DEFAULT_REGION

事前作業
===========

1.1. 組織名、プロジェクト名の決定

今回のハンズオンでは、IAMユーザ名にプロジェクト名と作業場所を埋め込みます。

コマンド

PRJ_NAME=<プロジェクト名>
LOC_NAME=<作業場所名>

1.2. IAMグループの決定

コマンド

aws iam list-groups \
  --query 'Groups[].GroupName'

表示されたグループから選択して、変数に定義します。

コマンド

IAM_GROUP_NAME="iamFullCf"

1.3. IAMグループポリシーの確認

IAMグループのグループポリシーを確認します。

コマンド

aws iam list-attached-group-policies \
  --group-name ${IAM_GROUP_NAME}

結果

      {
        "AttachedPolicies": [
          {
              "PolicyName": "iamFullCf",
              "PolicyArn": "arn:aws:iam::XXXXXXXXXXXX:policy/iamFullCf"
          }
        ],
        "IsTruncated": false
      }

コマンド

IAM_POLICY_NAME="iamFullCf"

ARNを取得します。

コマンド

IAM_POLICY_ARN=$( \
  aws iam list-policies \
    --query "Policies[?contains(PolicyName,\`${IAM_POLICY_NAME}\`)].Arn" \
    --output text \
) \
  && echo ${IAM_POLICY_ARN}

結果(例)

      arn:aws:iam::XXXXXXXXXXXX:policy/iamFullCf

ポリシのバージョンを取得します。

コマンド

IAM_POLICY_VERSION=$( \
  aws iam list-policies \
    --query "Policies[?contains(PolicyName,\`${IAM_POLICY_NAME}\`)].DefaultVersionId" \
    --output text \
) \
  && echo ${IAM_POLICY_VERSION}

結果(例)

v1

ポリシの内容を見てみましょう。

コマンド

aws iam get-policy-version \
  --policy-arn ${IAM_POLICY_ARN} \
  --version-id ${IAM_POLICY_VERSION}

結果(例)

      (略)

1.4. IAMユーザの決定

コマンド

IAM_USER_NAME="${IAM_GROUP_NAME}-${PRJ_NAME}-${LOC_NAME}" \
  && echo ${IAM_USER_NAME}

同じ名前のIAMユーザが存在しないことを確認します。

コマンド

aws iam get-user \
  --user-name ${IAM_USER_NAME}

結果(例)

      A client error (NoSuchEntity) occurred when calling the GetUser operation: The user with name iamFullCf-prjz-mbp13 cannot be found.

ユーザの作成
===============

2.1. 作成

IAMユーザを作成します。

変数の確認

cat << ETX

          IAM_USER_NAME: ${IAM_USER_NAME}

ETX

コマンド

aws iam create-user \
  --user-name ${IAM_USER_NAME}

結果

      {
        "User": {
          "UserName": "iamFullCf-prjz-mbp13",
          "Path": "/",
          "CreateDate": "2015-02-06T01:23:45.678Z",
          "UserId": "AIDAXXXXXXXXXXXXXXXXX",
          "Arn": "arn:aws:iam::XXXXXXXXXXXX:user/iamFullCf-prjz-mbp13"
        }
      }

2.2. IAMユーザの確認

作成したIAMユーザが存在することを確認します。

コマンド

aws iam get-user \
  --user-name ${IAM_USER_NAME}

結果

      {
        "User": {
          "UserName": "iamFullCf-prjz-mbp13",
          "Path": "/",
          "CreateDate": "2015-04-06T12:04:00Z",
          "UserId": "AIDAXXXXXXXXXXXXXXXXX",
          "Arn": "arn:aws:iam::XXXXXXXXXXXX:user/iamFullCf-prjz-mbp13"
        }
      }

グループへのユーザ追加
=========================

3.1. 追加

IAMユーザに権限を付与するために、IAMグループに追加します。

変数の確認

cat << ETX

        IAM_GROUP_NAME: ${IAM_GROUP_NAME}
        IAM_USER_NAME:  ${IAM_USER_NAME}

ETX

コマンド

aws iam add-user-to-group \
  --group-name ${IAM_GROUP_NAME} \
  --user-name ${IAM_USER_NAME}

結果

      (戻り値なし)

3.2. ユーザのグループ所属確認

IAMユーザが、IAMグループに所属していることを確認します。

コマンド

aws iam list-groups-for-user \
  --user-name ${IAM_USER_NAME} \
  --query "Groups[?contains(GroupName, \`${IAM_GROUP_NAME}\`)]"

結果

      {
        "Path": "/",
        "CreateDate": "2015-02-06T01:23:45Z",
        "GroupId": "AGPAXXXXXXXXXXXXXXXXX",
        "Arn": "arn:aws:iam::XXXXXXXXXXXX:group/iamFullCf",
        "GroupName": "iamFullCf"
      }

3.3. グループへのユーザ所属確認

IAMグループにIAMユーザが所属していることを確認します。

コマンド

aws iam get-group \
  --group-name ${IAM_GROUP_NAME} \
  --query "Users[?contains(UserName,\`${IAM_USER_NAME}\`)]"

結果

      {
        "UserName": "iamFullCf-prjz-mbp13",
        "Path": "/",
        "CreateDate": "2015-02-06T01:23:45Z",
        "UserId": "AIDAXXXXXXXXXXXXXXXXX",
        "Arn": "arn:aws:iam::XXXXXXXXXXXX:user/iamFullCf-prjz-mbp13"
      }

ユーザのAPIアクセス設定
==========================

4.1. access keyの作成と取得

変数の確認

cat << ETX

        IAM_USER_NAME:  ${IAM_USER_NAME}

ETX

コマンド

aws iam create-access-key \
  --user-name ${IAM_USER_NAME} \
  > ${IAM_USER_NAME}.json \
  && cat ${IAM_USER_NAME}.json

結果

      {
        "AccessKey": {
          "UserName": "iamFullCf-prjz-mbp13",
          "Status": "Active",
          "CreateDate": "2015-04-06T12:06:37.018Z",
          "SecretAccessKey": "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
          "AccessKeyId": "AKIAXXXXXXXXXXXXXXXX"
        }
      }

4.2. 認証情報の作成

sourceディレクトリ作成

コマンド

mkdir -p ~/.aws/source

結果

(戻り値なし)

rcファイル作成

コマンド

cat ${IAM_USER_NAME}.json |\
  jq '.AccessKey | {AccessKeyId, SecretAccessKey}' |\
  sed '/[{}]/d' | sed 's/[\" ,]//g' | sed 's/:/=/' |\
  sed 's/AccessKeyId/aws_access_key_id/' |\
  sed 's/SecretAccessKey/aws_secret_access_key/' \
  > ~/.aws/source/${IAM_USER_NAME}.rc \
  && cat ~/.aws/source/${IAM_USER_NAME}.rc

結果

aws_access_key_id=AKIAIOSFODNN7EXAMPLE
aws_secret_access_key=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

configファイル(単体)作成

コマンド

REGION_AWS_CONFIG="${AWS_DEFAULT_REGION}"

コマンド

FILE_USER_CONFIG="${HOME}/.aws/source/${IAM_USER_NAME}.config" \
  && echo ${FILE_USER_CONFIG}

echo "[profile ${IAM_USER_NAME}]" > ${FILE_USER_CONFIG} \
  && echo "region=${REGION_AWS_CONFIG}" >> ${FILE_USER_CONFIG} \
  && echo "" >> ${FILE_USER_CONFIG} \
  && cat ${FILE_USER_CONFIG}

結果

[profile user-project-sample]
region=us-west-2

~/.aws/credentials作成

バックアップ

cp ~/.aws/credentials ~/.aws/credentials.old

コマンド

file="${HOME}/.aws/credentials"
if [ -e ${file} ]; then mv ${file} ${file}.bak; fi
for i in `ls ${HOME}/.aws/source/*.rc`; do \
  name=`echo $i | sed 's/^.*\///' | sed 's/\.rc$//'` \
  && echo "[$name]" >> ${file} \
  && cat $i >> ${file} \
  && echo "" >> ${file} ;done \
  && cat ${file}

結果

[user-project-sample]
aws_access_key_id=AKIAIOSFODNN7EXAMPLE
aws_secret_access_key=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

~/.aws/config作成

バックアップ

cp ~/.aws/config ~/.aws/config.old

コマンド

cat ${HOME}/.aws/source/*.config > ${HOME}/.aws/config \
  && cat ${HOME}/.aws/config

結果

[profile user-project-sample]
region=ap-northeast-1

ユーザの切り替え
===================

5.1. 現在のユーザの確認

変数の確認

aws configure list | grep profile

結果(例)

profile       iamFull-prjZ-mbp13    env    AWS_DEFAULT_PROFILE

5.2. 切替後ユーザの確認

変数の確認

cat << ETX

        new:     IAM_USER_NAME:       ${IAM_USER_NAME}

ETX

5.3. ユーザの切り替え

コマンド

export AWS_DEFAULT_PROFILE=${IAM_USER_NAME} \
  && echo ${AWS_DEFAULT_PROFILE}

5.4. コマンドテスト

コマンド

aws cloudformation list-stacks

結果

{
    "StackSummaries": []
}

認証ファイルの削除
=====================

コマンド

rm ${IAM_USER_NAME}.json

完了