Elastic Beanstalk ユーザーポリシーの管理

AWS Elastic Beanstalk には、2 つのマネージド型ポリシーが用意されています。このポリシーでは、Elastic Beanstalk で管理されるすべてのリソースに対し、フルアクセスか読み取り専用アクセスを許可することができます。ポリシーは、AWS Identity and Access Management (IAM) ユーザーまたはグループ、またはユーザーが引き受けるロールにアタッチできます。

非推奨の マネージドポリシー

以前は、Elastic Beanstalk では、AWSElasticBeanstalkFullAccess と AWSElasticBeanstalkReadOnlyAccess という、他の 2 つの管理ユーザーポリシーをサポートしていました。これらの古いポリシーは廃止する予定です。これらは、IAM コンソールで、引き続き表示および使用できる場合があります。ただし、新しい管理ユーザーポリシーを使用することと、(それが存在する場合は) カスタムポリシーを追加して、カスタムリソースにアクセス許可を付与することをお勧めします。

他のサービスとの統合に関するポリシー

また、必要に応じて、環境を他のサービスと統合することを許可する、より詳細なポリシーも指定します。

特定の管理ポリシーの JSON ソースを確認するには、「AWS 管理ポリシーリファレンスガイド」を参照してください。

管理ポリシーによるアクセスのコントロール

管理ポリシーにより、Elastic Beanstalk へのフルアクセスまたは読み取り専用アクセスを許可できます。Elastic Beanstalk は、新しい機能へのアクセスに追加の許可が必要になった場合に、これらのポリシーを自動的に更新します。

カスタムユーザーポリシーの作成

独自の IAM ポリシーを作成して、特定の Elastic Beanstalk リソースに対する特定の Elastic Beanstalk API アクションを許可または拒否したり、Elastic Beanstalk で管理されていないカスタムリソースへのアクセスを制御したりできます。ユーザーまたはグループへのポリシーのアタッチについては、「IAM ユーザーガイド」の「ポリシーの使用」を参照してください。カスタムポリシーの作成の詳細については、「IAM ユーザーガイド」の「IAM ポリシーの作成」を参照してください。

2019 年 11 月、Elastic Beanstalk は Amazon EC2 起動テンプレートのサポートをリリースしました。これは、環境の Auto Scaling グループが Amazon EC2 インスタンスを起動するために使用できる新しいリソースタイプであり、新しいアクセス許可が必要です。ユーザーポリシーに必要なアクセス許可がない場合でも、環境ではレガシーリソース、起動設定を使用できるため、多くのお客様は影響を受けません。ただし、Amazon EC2 起動テンプレートを必要とする新しい機能を使用しようとしていて、カスタムポリシーがある場合、環境の作成または更新が失敗する可能性があります。この場合、カスタムポリシーに次のアクセス許可があることを確認してください。

IAM ポリシーには、付与するアクセス許可を定義したポリシーステートメントが含まれています。Elastic Beanstalk のポリシーステートメントを作成する場合、ポリシーステートメントを構成する以下の 4 つの部分について、使い方を把握しておく必要があります。

以下のセクションでは、カスタムユーザーポリシーを考慮する可能性のあるいくつかのケースを示します。

制限付き Elastic Beanstalk 環境の作成の有効化

次のサンプルポリシーでは、このポリシーを添付されたユーザーは、CreateEnvironment アクションを呼び出し、指定されたアプリケーションとアプリケーションバージョンを使用して、名前が Test で始まる環境を作成できます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid":"CreateEnvironmentPerm",
      "Action": [
        "elasticbeanstalk:CreateEnvironment"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:elasticbeanstalk:us-east-2:123456789012:environment/My First Elastic Beanstalk Application/Test*"
      ],
      "Condition": {
        "StringEquals": {
          "elasticbeanstalk:InApplication": ["arn:aws:elasticbeanstalk:us-east-2:123456789012:application/My First Elastic Beanstalk Application"],
          "elasticbeanstalk:FromApplicationVersion": ["arn:aws:elasticbeanstalk:us-east-2:123456789012:applicationversion/My First Elastic Beanstalk Application/First Release"]
        }
      }
    },
    {
      "Sid":"AllNonResourceCalls",
      "Action":[
        "elasticbeanstalk:CheckDNSAvailability",
        "elasticbeanstalk:CreateStorageLocation"
      ],
      "Effect":"Allow",
      "Resource":[
        "*"
      ]
    }
  ]
}

上記のポリシーは、Elastic Beanstalk オペレーションへの制限付きアクセスを許可する方法を示しています。実際に環境を起動するには、環境を動かすための AWS リソースを作成する許可もユーザーに付与されている必要があります。たとえば、次のポリシーはウェブサーバー環境の一連のデフォルトリソースへのアクセス権を付与します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:*",
        "ecs:*",
        "elasticloadbalancing:*",
        "autoscaling:*",
        "cloudwatch:*",
        "s3:*",
        "sns:*",
        "cloudformation:*",
        "sqs:*"
        ],
      "Resource": "*"
    }
  ]
}

Amazon S3 に保存されている Elastic Beanstalk ログへのアクセスの有効化

以下の例のポリシーでは、ユーザーは Elastic Beanstalk ログをプルし、Amazon S3 にステージングして、取得できます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "s3:DeleteObject",
        "s3:GetObjectAcl",
        "s3:PutObjectAcl"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::elasticbeanstalk-*"
    }
  ]
}

"arn:aws:s3:::elasticbeanstalk-us-east-2-123456789012/resources/environments/logs/*"

特定の Elastic Beanstalk アプリケーションの管理の有効化

以下のサンプルポリシーでは、ユーザーが 1 つの特定の Elastic Beanstalk アプリケーション内の環境およびその他のリソースを管理できるようにします。このポリシーは、他のアプリケーションのリソースに対する Elastic Beanstalk アクションを拒否し、Elastic Beanstalk アプリケーションの作成と削除も拒否します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "elasticbeanstalk:CreateApplication",
        "elasticbeanstalk:DeleteApplication"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "elasticbeanstalk:CreateApplicationVersion",
        "elasticbeanstalk:CreateConfigurationTemplate",
        "elasticbeanstalk:CreateEnvironment",
        "elasticbeanstalk:DeleteApplicationVersion",
        "elasticbeanstalk:DeleteConfigurationTemplate",
        "elasticbeanstalk:DeleteEnvironmentConfiguration",
        "elasticbeanstalk:DescribeApplicationVersions",
        "elasticbeanstalk:DescribeConfigurationOptions",
        "elasticbeanstalk:DescribeConfigurationSettings",
        "elasticbeanstalk:DescribeEnvironmentResources",
        "elasticbeanstalk:DescribeEnvironments",
        "elasticbeanstalk:DescribeEvents",
        "elasticbeanstalk:DeleteEnvironmentConfiguration",
        "elasticbeanstalk:RebuildEnvironment",
        "elasticbeanstalk:RequestEnvironmentInfo",
        "elasticbeanstalk:RestartAppServer",
        "elasticbeanstalk:RetrieveEnvironmentInfo",
        "elasticbeanstalk:SwapEnvironmentCNAMEs",
        "elasticbeanstalk:TerminateEnvironment",
        "elasticbeanstalk:UpdateApplicationVersion",
        "elasticbeanstalk:UpdateConfigurationTemplate",
        "elasticbeanstalk:UpdateEnvironment",
        "elasticbeanstalk:RetrieveEnvironmentInfo",
        "elasticbeanstalk:ValidateConfigurationSettings"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringNotEquals": {
          "elasticbeanstalk:InApplication": [
            "arn:aws:elasticbeanstalk:us-east-2:123456789012:application/myapplication"
          ]
        }
      }
    }
  ]
}