■ はじめに
https://dk521123.hatenablog.com/entry/2017/02/26/231046
の続き、又は、以下の関連記事の一部。
https://dk521123.hatenablog.com/entry/2020/09/29/165636
今回は、 IAM（Identity and Access Management）のIAM Policy（ポリシー） について、メモする。
目次
【１】IAM Policy 【２】ポリシーの種類 １）インラインポリシー (Inline policies) ２）管理ポリシー (Managed policies) 【３】アクセス許可境界 【４】IAM Policy / JSON要素 １）Version ２）Statement ３）Sid ４）Effect ５）Action ６）Resource ７）Condition ８）Principal 【５】サンプル 例１：Hello world 例２：EC2 の開始・停止 例３：EC2 の ReadOnly
【１】IAM Policy
* S3を含むAWSリソースへのアクセス権・実行権限を JSON形式で定義・コントロールできる
もう少し、深堀りすると
* 以下のルールに基づき、AWSの各サービスに対して、 アクセス権・実行権限をコントロールできる ~~~~ a) Action b) Resource c) Effect (許可 Allow / 拒否 deny) ~~~~ * 更に、深堀りするなら、以下のサイトが勉強になりそう。
https://dev.classmethod.jp/articles/iam-group-policy-for-s3-bucket-control/
【２】ポリシーの種類
* ポリシーには、以下の2種類がある １）インラインポリシー ２）管理ポリシー
１）インラインポリシー (Inline policies)
* 対象（ユーザ・グループ）ごとに作成・付与するポリシー
注意点
* 複数ユーザ・グループに同種の権限を付与することには向かない
２）管理ポリシー (Managed policies)
* 1つのポリシーを複数ユーザ・グループに適用可能 * 管理ポリシーには、更に2種類ある [1] AWS管理ポリシー [2] カスタマー管理ポリシー
[1] AWS管理ポリシー
* AWS側で用意しているポリシー（e.g. PowerUser）
[2] カスタマー管理ポリシー
* ユーザ自身が管理するポリシー * 最大過去5世代までバージョン管理できる => 誤った設定をした場合に即座に前の設定に戻すことができる
【３】アクセス許可境界
Permissions PolicyとPermissions Boundaryの両方で許可されているものが 有効なアクセス権限となるので、両方設定していないと有効にならない => 以下のトラブルにより知った
EMRのBootstrapでエラー「BOOTSTRAP_FAILURE_BA_DOWNLOAD_FAILED_PRIMARY」が表示
https://dk521123.hatenablog.com/entry/2023/08/17/002559
【４】IAM Policy / JSON要素
* 代表的なものは以下の通り。 ~~~~~~~ １）Version ２）Statement ３）Sid ４）Effect ５）Action ６）Resource ７）Condition ８）Principal ~~~~~~~ * 詳細および上記以外の項目は、以下の公式サイトを参照
https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reference_policies_elements.html
１）Version
* ポリシー言語のバージョン * 「"Version": "2012-10-17"」は現行の最新。（「2008-10-17」は旧バージョン）
https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reference_policies_elements_version.html
２）Statement
* 設定項目
３）Sid
* 任意の識別子 * JSON ポリシー内で固有にする必要がある * !メモ! あると可読性があがるから指定したほうがいい
https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reference_policies_elements_sid.html
４）Effect
* 「許可(Allow)」or「拒否(Deny)」 * 明示的な拒否ステートメント(Deny)は、許可ステートメント(Allow)よりも優先される
５）Action
* 対象サービス操作 * 配列形式
６）Resource
* 対象リソース * 配列形式。
７）Condition
* 実行する条件を指定可能
https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reference_policies_elements_condition.html
* 以下の関連記事のRoleのように実行条件「タグにOwner=Admin」が 設定されているもののみ実行を許可するような制限を書けることができる
https://dk521123.hatenablog.com/entry/2020/08/05/144724
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "elasticmapreduce:RunJobFlow" ], "Resource": "arn:aws:ec2:elasticmapreduce:*/*", "Condition": { "StringEquals": {"elasticmapreduce:ResourceTag/Owner": "admin"} } } ] }
８）Principal
* リソースへのアクセスを許可または拒否する ユーザー、アカウント、サービス、または他のエンティティを指定
【５】サンプル
S3 に関するアクセス制御については、以下の関連記事を参照のこと。
Amazon S3 ～ アクセス制御 / IAM Policy 編 ～
https://dk521123.hatenablog.com/entry/2020/10/24/201738
例１：Hello world
{ "Version":"2012-10-17", "Statement":[ { "Sid":"S3Control", "Effect":"Allow", "Action":[ "s3:PutObject", "s3:PutObjectAcl", "s3:GetObject", "s3:GetObjectAcl", "s3:DeleteObject" ], "Resource":"arn:aws:s3:::your-s3-bucket/xxxx/*" }, { "Sid":"CloudWatchControl", "Effect":"Allow", "Action":[ "logs:*" ], "Resource":"*" }, ] }
例２：EC2 の開始・停止
{ "Version": "2012-10-17", "Statement": [ { "Action": [ "ec2:Describe*", "ec2:StartInstances", "ec2:StopInstances" ], "Resource": [ "*" ], "Effect": "Allow" } ] }
例３：EC2 の ReadOnly
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "ec2:Describe*", "Resource": "*" }, { "Effect": "Allow", "Action": "elasticloadbalancing:Describe*", "Resource": "*" }, { "Effect": "Allow", "Action": [ "cloudwatch:ListMetrics", "cloudwatch:GetMetricStatistics", "cloudwatch:Describe*" ], "Resource": "*" }, { "Effect": "Allow", "Action": "autoscaling:Describe*", "Resource": "*" } ] }
関連記事
IAM ～ 入門編 ～
https://dk521123.hatenablog.com/entry/2017/02/26/231046
IAM ～ 基本編 ～
https://dk521123.hatenablog.com/entry/2022/07/03/000000
Amazon S3 ～ アクセス制御編 ～
https://dk521123.hatenablog.com/entry/2020/09/29/165636
Amazon S3 ～ アクセス制御 / IAM Policy 編 ～
https://dk521123.hatenablog.com/entry/2020/10/24/201738
AWS Glue のトラブル ～ Job編 ～
https://dk521123.hatenablog.com/entry/2019/10/25/232155
Amazon EMR に関するトラブルシューティング
https://dk521123.hatenablog.com/entry/2020/08/05/144724
EMRのBootstrapでエラー「BOOTSTRAP_FAILURE_BA_DOWNLOAD_FAILED_PRIMARY」が表示
https://dk521123.hatenablog.com/entry/2023/08/17/002559
