074-AWS SAP AWS 「理論・実践・一問道場」AWS CloudFormation権限

type

status

date

slug

summary

理論

背景 serverless frameworkではCloudFormationのサービスロールをdeploymentRoleというオプションで指定するのですが、そこら辺の記事を書こうとした際にそもそもCloudFormationのサービスロールとは何かということを書いてみたらすごく長くなったので、別記事に切り出しました…

https://go-to-k.hatenablog.com/entry/2021/08/09/000812

AWS CloudFormation権限 AWS CloudFormationのデフォルトでは、実行者権限でリソースを作成。安全ではない？

CloudFormationのサービスロールに関する要点は以下の通りです：

サービスロールの目的:

実行者の権限を分離：CloudFormationスタックの作成時に、実行者のIAMユーザー権限ではなく、指定されたサービスロールの権限で操作を行う。これにより、スタック作成に必要な権限を特定のロールに委譲する。

問題点：

IAM権限の管理の煩雑さ：開発環境で複数のユーザーがスタックを管理する場合、各ユーザーに適切なIAMポリシーを割り当てる必要があり、これが不統一になると権限エラーや管理の乱れが発生する。

過剰権限の付与：開発者にスタック作成に必要な権限を付与すると、CloudFormationを通じてのみリソース操作を制限したい場合でも、コンソールやCLIを通じてリソースの変更・削除が可能になり、意図しない操作が行われるリスクがある。

解決策：

サービスロールを使用：スタック作成時に専用のIAMサービスロールを指定し、リソース作成や変更をそのロールに委譲することで、実行者の権限を限定し、過剰な権限を与えないようにする。

本番環境での重要性：

権限の制限：特に本番環境では、CloudFormationを通じてのみリソースを操作できるようにし、他の手段（コンソールやCLIなど）で不適切に操作されないようにすることが重要。

実践

CloudFormation で使用するサービスロールの作成方法を教えてください | DevelopersIO

この記事はアノテーション株式会社 AWS Technical Support Advent Calendar 2021のカレンダー | Advent Calendar 2021 - Qiita 21日目の記事です。

https://dev.classmethod.jp/articles/tsnote-cloudformation-create-servicerole-001/?utm_source=chatgpt.com

一問道場

問題 #74

ある企業が単一のAWSアカウントでいくつかのワークロードを実行しています。新しい企業ポリシーにより、エンジニアは承認されたリソースのみをプロビジョニングでき、またエンジニアはAWS CloudFormationを使用してこれらのリソースをプロビジョニングする必要があります。ソリューションアーキテクトは、この新しい制限をエンジニアが使用するIAMロールに強制するソリューションを作成する必要があります。

ソリューションアーキテクトは、どのようにこの制限を強制すべきですか？

選択肢：

承認されたリソースを含むAWS CloudFormationテンプレートをAmazon S3バケットにアップロードする。

エンジニアのIAMロールのIAMポリシーを更新して、Amazon S3とAWS CloudFormationへのアクセスのみを許可する。

AWS CloudFormationテンプレートを使用してリソースをプロビジョニングする。

解説

IAMポリシーを使って、エンジニアがアクセスできるサービスを制限します。これにより、エンジニアはAWS CloudFormationを使用してリソースをプロビジョニングできますが、S3バケットに格納されたテンプレートに基づいてのみリソースを作成できます。

エンジニアのIAMロールのIAMポリシーを更新して、承認されたリソースとAWS CloudFormationのみをプロビジョニングできるようにする。

AWS CloudFormationテンプレートを使用して、承認されたリソースでスタックを作成する。

解説

IAMポリシーの更新で、承認されたリソースのプロビジョニングのみを許可するということですが、この方法だけでは他の手段（例えば直接AWSコンソールやCLIなど）を使って承認されたリソースを作成できる可能性があります。つまり、CloudFormationを通さずに承認されたリソースを作成できてしまうため、この選択肢は要件を完全に満たしません。

エンジニアのIAMロールのIAMポリシーを更新して、AWS CloudFormationのアクションのみを許可する。

承認されたリソースをプロビジョニングするための権限を持つ新しいIAMポリシーを作成し、そのポリシーを新しいIAMサービスロールに割り当てる。

AWS CloudFormationのスタック作成時にこのIAMサービスロールを割り当てる。

解説

正解

AWS CloudFormationスタックでリソースをプロビジョニングする。

エンジニアのIAMロールのIAMポリシーを更新して、エンジニア自身のAWS CloudFormationスタックへのアクセスのみを許可する。