CEL(Common Expression Language)を使ってIAMポリシーを検索する iam-policy-finder - KAYAC Engineers' Blog

2024/07/26 11 users Cel github.com OSS SREチーム AWS

SREチームの藤原です。 今回は CEL(Common Expression Language) を使って、AWSのIAMポリシーを検索するツールを作ったので紹介します。 github.com 3行でまとめ CEL (Common Expression Language)の式を指定してAWS IAMポリシーを検索するツールをOSSとして作りました。GetAccountAuthorizationDetails APIで取得したIA... 続きを読む

【入門編】IAMポリシー設計のポイントを整理してみる - サーバーワークスエンジニアブログ

2021/09/24 17 users サーバーワークスエンジニアブログ 入門編 ポイント サウナ

週1回のサウナが習慣になったCI部1課の山﨑です。 今回はIAMポリシー設計のポイントを考えて整理してみました。 はじめに IAMポリシーの基本 IAMポリシーの要素 ポリシー例 IAMポリシー設計のポイント 5Wで要件を整理する Organizations SCP リソースベースのポリシー IAMユーザー IAMロール まとめ はじめに AWSにおい... 続きを読む

[UPDATE] IAMユーザー/IAMロールの実際の操作履歴からIAMポリシーが生成可能になりました ! | DevelopersIO

2021/04/08 6 users DevelopersIO update IAMロール 生成

[UPDATE] IAMユーザー/IAMロールの実際の操作履歴からIAMポリシーが生成可能になりました ! IAMユーザー/IAMロールの実際の操作履歴からIAMポリシーが生成可能になりました。理想（最小権限の原則)と、現実(実運用)のギャップを埋めるのにかなり役立ちそうです。 ご参考 IAM Access Analyzer makes it easier to impleme... 続きを読む

[S3 Access Points]S3バケットのエンドポイントを作成しセキュリティレベルを分ける #reinvent ｜ Developers.IO

2019/12/05 11 users コンニチハ reinvent セキュリティレベル 千葉 以下

コンニチハ、千葉です。 S3 Access Pointsを利用すると、S3バケットに対しアクセスポイントを作成し、IAMポリシーを書くことができます。 丁度VPCエンドポイントのポリシーのように、アクセスポイント経由で記載したIAMポリシーが評価され適用されます。 例えば、以下のユースケースを考えます。 セキュリティレベル１の... 続きを読む

[初心者向け] IAMカスタムポリシーを最初から作る方法の一つ ｜ DevelopersIO

2019/10/30 7 users IAM DevelopersIO 要件 ちゃだい 最初

大阪オフィスのちゃだいんです。 IAMのカスタムポリシーを1から作るぞってなったら、みなさんどうしてますか？ ポリシーを最初から作るの、なかなか骨が折れますよね。 今日は、私の作成方法を紹介してみようと思います。（もっといい方法があるって場合はこっそり教えてください） 要件 例えば、このようなIAMポリシー... 続きを読む

[AssumeRole] アクセスキーが流出しても被害が最小限になるIAMユーザでCloudFormationにデプロイする方法 ｜ DevelopersIO

2019/09/09 22 users IAMロール CloudFormation 権限 実質 万が一

IAMユーザ & IAMロールを作成 デプロイ用のIAMユーザと付与するIAMポリシーについて このユーザ自身に与える権限は、AssumeRoleできる権限のみです。 そのため、万が一このIAMユーザのアクセスキーが流出しても、流出したアクセスキーでは実質何もできません。 デプロイ用のIAMユーザがAssumeRoleするIAMロールについて ... 続きを読む

S3バケットの操作権限をバケット名で制限する – 複数部署や複数ベンダー環境で役立つTips – ｜ Developers.IO

2018/09/21 7 users Tips Developers.IO バケット名 操作権限

コンニチハ、千葉です。 S3を複数部署や、複数ベンダーなど、色々な人が操作する場合に、このバケットはこの人しかさわれない、というような制限の方式を考えてみます。 EC2やRDSだと、リソースのタグをベースに権限を制限することができます。このタグが付いてたら、操作を許可するというIAMポリシーを書けます。 参考... 続きを読む

AWS Solutions Architect ブログ: Service Last Accessed Dataを用いたIAMポリシーからの不必要な権限の除き方

2015/12/22 13 users 権限 AWS Solutions Architect 原則

セキュリティのベストプラクティスとして、 AWSは特定のタスクを実行するために要求される権限だけを許可する 最小権限の原則 にのっとったAWS Identity and Access Management (IAM) ポリシーを書くことを推奨しています。しかしながら、どの許可をアプリケーションやユーザーが必要としているかを確かめることは困難でもあります。どの権限が必要とされているか決めることを助け... 続きを読む

IAMポリシーで特定のEC2インスタンスへの操作権限付与 - 雑多なインフラエンジニア日記

2014/04/26 24 users 特定 表題 aws.typepad.com 操作権限 http

2013-11-13 IAMポリシーで特定のEC2インスタンスへの操作権限付与 EC2 IAM 表題の通り、IAMポリシーで特定のEC2インスタンスのみに操作権限を付ける ことが可能になったみたいです。(2013/07時点) http://aws.typepad.com/aws_japan/2013/07/resource-permissions-for-ec2-and-rds-resources... 続きを読む