Snow Family デバイスで IAM をローカルに使用

AWS Identity and Access Management (IAM) により、AWS Snowball Edge デバイスで実行される AWS リソースへのアクセスを安全にコントロールできます。IAM により、誰を認証 (サインイン) し、誰にリソースの使用を承認する (アクセス許可を持たせる) かを制御します。

IAM は、デバイスでローカルにサポートされています。ローカル IAM サービスを使用して新しいユーザーを作成し、IAM ポリシーをアタッチできます。これらのポリシーを使用して、割り当てられたタスクの実行に必要なアクセスを許可できます。例えば、ユーザーにデータの転送を許可する一方で、新しい Amazon EC2 互換インスタンスの作成は制限することができます。

さらに、デバイスで AWS Security Token Service (AWS STS) を使用して、ローカルなセッションベースの認証情報を作成できます。IAM サービスの詳細については、IAM ユーザーガイドの使用開始を参照してください。

デバイスのルート認証情報を無効にすることはできません。また、アカウント内のポリシーを使用して、AWS アカウント のルートユーザーへのアクセスを明示的に拒否することはできません。ルートユーザーのアクセスキーを保護し、デバイスを日常的に操作するための IAM ユーザー認証情報を作成することをお勧めします。

Snowball Edge での AWS CLI および API オペレーションの使用

AWS CLI または API オペレーションを使用して、SnowballEdge で IAM、AWS STS、Amazon S3、および Amazon EC2 コマンドを入力する場合は、region を「snow」に指定する必要があります。次の例のように、aws configure を使用するか、コマンド自体の中でこれを行うことができます。

aws configure --profile abc
AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
AWS Secret Access Key [None]: 1234567
Default region name [None]: snow
Default output format [None]: json
        

または

aws iam list-users --profile snowballEdge --endpoint http://192.0.2.0:6078 --region snow 
        

Snowball Edge でサポートされている IAM AWS CLI コマンドの一覧

以下では、Snowball Edge デバイスでサポートされている、IAM 用の AWS CLI コマンドとオプションのサブセットについて説明します。コマンドまたはオプションが以下に示されていない場合、そのコマンドまたはオプションはサポートされていません。コマンドでサポートされていないパラメータについては、説明に記載されています。

Snow Family デバイスでサポートされている IAM API オペレーション

以下は、Snowball Edge で使用できる IAM API オペレーションと、IAM API リファレンスの説明へのリンクです。

Snow Family デバイスでサポートされている IAM ポリシーのバージョンと文法

以下は、IAM ポリシーのローカル IAM サポートバージョン 2012-10-17 と、ポリシーの文法のサブセットです。

Snow Family デバイスの IAM ポリシーの例

次に、Snowball Edge デバイスにアクセス許可を付与するポリシーの例を示します。

IAM API を使用した Snow Family デバイスのサンプルユーザーの GetUser 呼び出しの許可

IAM API を介したサンプルユーザーの GetUser 呼び出しを許可するには、以下のポリシーを使用します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "iam:GetUser",
            "Resource": "arn:aws:iam:::user/example-user"
        }
    ]
}

Snow Family デバイスの Amazon S3 API へのフルアクセスを許可

Amazon S3 API へのフルアクセスを許可するには、以下のポリシーを使用します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
            
        }
    ]
}

Snow Family デバイスの Amazon S3 バケットへの読み書きアクセスの許可

特定のバケットへの読み取りおよび書き込みアクセスを許可するには、次のポリシーを使用します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListObjectsInBucket",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name"
        },
        {
            "Sid": "AllObjectActions",
            "Effect": "Allow",
            "Action": "s3:*Object",
            "Resource": "arn:aws:s3:::bucket-name/*"
        }
    ]
}

Snow Family デバイスの Amazon S3 バケットへの list、get、put アクセスの許可

次のポリシーを使用して、特定の S3 バケットへの List、Get、および Put アクセスを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

Snow Family デバイスの Amazon EC2 API へのフルアクセスの許可

Amazon EC2 へのフルアクセスを許可するには、以下のポリシーを使用します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:*",
            "Resource": "*"
        }
    ]
}

Snow Family デバイスの Amazon EC2 互換インスタンスを起動および停止するためのアクセスの許可

次のポリシーを使用して、Amazon EC2 インスタンスの開始と停止のアクセスを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*"
        }
    ]
}

Snow Family デバイスで DescribeLaunchTemplates への呼び出しを拒否し、DescribeImages へのすべての呼び出しを許可

DescribeLaunchTemplates への呼び出しを拒否するが、DescribeImages へのすべての呼び出しを許可するには、次のポリシーを使用します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages"
            ],
            "Resource": "*"
        }
    ]
}

Snow Family デバイスでの API コールのポリシー

ユーザー定義のマネージドポリシーを含む、Snow デバイスで使用可能なすべてのマネージドポリシーを一覧表示します。詳細は、「list-policies」を参照してください。

aws iam list-policies --endpoint http://ip-address:6078 --profile snowballEdge --region snow
{
    "Policies": [
        {
            "PolicyName": "Administrator",
            "Description": "Root user admin policy for Account 123456789012",
            "CreateDate": "2020-03-04T17:44:59.412Z",
            "AttachmentCount": 1,
            "IsAttachable": true,
            "PolicyId": "policy-id",
            "DefaultVersionId": "v1",
            "Path": "/",
            "Arn": "arn:aws:iam::123456789012:policy/Administrator",
            "UpdateDate": "2020-03-04T19:10:45.620Z"
        }
    ]
}                                          

Snow Family デバイスの TrustPolicy の例

信頼ポリシーは、通常はアクセスできない可能性のある AWS リソースへのアクセスに使用できる一時的なセキュリティ認証情報のセットを返します。これらの一時的な認証情報は、アクセスキー ID、シークレットアクセスキー、およびセキュリティトークンで構成されています。通常、クロスアカウントアクセスには、アカウントで AssumeRole を使用します。

以下に示しているのは、信頼ポリシーの例です。信頼ポリシーの詳細については、AWS Security Token Service API リファレンスの AssumeRole を参照してください。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::AccountId:root" //You can use the Principal ID instead of the account ID. 
                ]
            },
            "Action": [
                "sts:AssumeRole"
            ]
        }
    ]
}