タグを利用したEC2リソースのアクセス管理

INAMURA written 3年 ago

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので十分ご注意ください。

はじめに

先日自分のEC2を『終了』させて、ふと画面を見ると何故か自分のEC2は元気に『実行中』という体験をしました。はい、誰かのインスタンス削除してしまいました。ごめんなさい。
開発環境のため大事には至りませんでしたが、肝が冷えた第三システム部の稲村です。

そんなに肝を冷やさないためにも『タグベースの認可』について学んでいきたいと思います。

タグベースの認可とは？

AWSのリソースにはタグ（キー＆値）を付与することが出来ます。単にリソースを見つけやすくするだけではなく、リソース自体の管理をしやすくなる戦略を執ることが可能です。

AWSにはリソースを実行するための、エンティティ（ポリシー（権限）を付与することができる対象のユーザ・グループ及びロール）というものがあります。

このエンティティに対して、『特定のタグ（キー＆値）が付与されている、AWSリソースに対してのみ、アクションの実行が可能』という条件があるポリシー（権限）を与えることが可能となります。

こうした条件があるポリシー（権限）を付与することを『タグベースの認可』と言います。

ハンズオン

1.EC2インスタンスに特定のタグを追加する

1.1 作成されたEC2コンソールを開き、「タグ」タブを選択して「タグを管理」を押下する

1.2 特定のタグ（キー：Auth　値：アカウント名）と入力する

リソースにタグを付けるときは事前にタグの制限をよく読んで理解してください。
Amazon EC2 のタグは大文字と小文字が区別されます。

AWSドキュメント：Amazon EC2 リソースのタグ付け

2.特定のタグへのアクセスを許可するIAM ポリシーを作成する

2.1 IAMの画面へ移動して「ポリシー」を選択、「ポリシーの作成」を押下する

2.2 ポップアップで画面が開き「ポリシーの作成」で、タブ「JSON」で作成、作成後ポリシーの名前を付けて作成する

考慮点
1.EC2を作成することが出来る（今回はすべてのEC2リソースを利用できるとしています）
2.ただしタグ（キー：ec2:ResourceTag/Auth 　値：${aws:username}がない場合は EC2 リソースへのアクセスは出来ません（必ずアカウント名が必要となる）
3.②の条件を利用して、値：${aws:username}がタグ付けされていないEC2は削除出来ないとしています
※他のアカウントの方が、もし私のアカウント名を付与した場合は削除出来てしまうので注意
※利用しているアカウント名はAWSコンソール画面左上辺りにあります

IAMポリシー

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateEC2",
            "Effect": "Allow",
            "Action": "ec2:*",
            "Resource": "*"
        },
        {
            "Sid": "CannotBeCreatedWithoutTags",
            "Effect": "Deny",
            "Action": "ec2:RunInstances",
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringNotLike": {
                    "aws:RequestTag/Auth": "${aws:username}"
                }
            }
        },
        {
            "Sid": "CannotDeleteWithoutTags",
            "Effect": "Deny",
            "Action": [
                "ec2:Terminate*",
                "ec2:Start*",
                "ec2:Reboot*",
                "ec2:Delete*",
                "ec2:Stop*"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "ec2:ResourceTag/Auth": "${aws:username}"
                }
            }
        }
    ]
}