認証ポリシーを使用して VPC Lattice サービスへのアクセスを制御する

VPC Lattice 認証ポリシーは、サービスネットワークまたはサービスにアタッチして、指定されたプリンシパルがサービスのグループまたは特定のサービスにアクセスできるかどうかを制御するIAMポリシードキュメントです。アクセスを制御する各サービスネットワークまたはサービスに認証ポリシーを 1 つアタッチできます。

認証ポリシーは、IAMアイデンティティベースのポリシーとは異なります。IAM ID ベースのポリシーは、IAMユーザー、グループ、またはロールにアタッチされ、それらの ID がどのリソースに対して実行できるアクションを定義します。認証ポリシーはサービスとサービスネットワークにアタッチされます。認可が正常に完了するためには、認可ポリシーとアイデンティティベースのポリシーの両方において、明示的な許可ステートメントが必要です。詳細については、「認可の仕組み」を参照してください。

AWS CLI および コンソールを使用して、サービスおよびサービスネットワーク上の認証ポリシーを表示、追加、更新、または削除できます。を使用する場合 AWS CLI、コマンドはプロファイル用に AWS リージョン 設定された で実行されることに注意してください。別のリージョンでコマンドを実行する場合は、プロファイルのデフォルトのリージョンを変更するか、コマンドに --region パラメータを使用します。

認証ポリシーの使用を開始するには、手順に沿ってサービスネットワークに適用する認証ポリシーを作成します。制限の厳しいアクセス許可を他のサービスには適用しない場合には、オプションで個別のサービスに認証ポリシーを設定できます。

aws vpc-lattice update-service-network --service-network-identifier sn-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier sn-0123456789abcdef0

aws vpc-lattice update-service --service-identifier svc-0123456789abcdef0 --auth-type NONE

aws vpc-lattice delete-auth-policy --resource-identifier svc-0123456789abcdef0

サービスに認証されたリクエストを必要とする認証ポリシーを有効にする場合、そのサービスのすべてのリクエストには、Signature Version 4 (SigV4)を使用して計算された有効なリクエストの署名が含まれている必要があります。詳細については、「SIGv4 Amazon Lattice VPC の認証されたリクエスト」を参照してください。

認証ポリシーの一般的な要素

VPC Lattice 認証ポリシーは、IAMポリシーと同じ構文を使用して指定されます。詳細については、「 ユーザーガイド」の「アイデンティティベースのポリシー」と「リソースベースのポリシー」を参照してください。 IAM

認証ポリシーには、次の要素が含まれます。

認証ポリシーを作成および管理する際は、IAMポリシージェネレーター を使用することをお勧めします。

要件

のポリシーに改行や空白行を含めるJSONことはできません。

認証ポリシーのリソース形式

特定のリソースへのアクセスを制限するには、次の例のとおり <serviceARN>/<path> パターンと一致するスキーマを使用し Resource 要素をコーディングする認証ポリシーを作成します。

には、次の Amazon リソースネーム (ARN) リソース形式を使用します<serviceARN>。

arn:aws:vpc-lattice:region:account-id:service/service-id

例:

"Resource": "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0"

認証ポリシーで使用できる条件キー

アクセスは認証ポリシーの条件要素の条件キーによってさらに細かくコントロールできます。これらの条件キーはプロトコルと、リクエストが Signature Version 4 (SigV4) または匿名のどちらで署名されているかによって、評価の対象となります。条件キーは大文字と小文字が区別されます。

AWS には、 aws:PrincipalOrgIDや などのアクセスの制御に使用できるグローバル条件キーが用意されていますaws:SourceIp。 AWS グローバル条件キーのリストを確認するには、「 ユーザーガイド」のAWS 「グローバル条件コンテキストキー」を参照してください。 IAM

次のストーリーでは、Lattice VPC 条件キーを一覧表示します。詳細については、「サービス認証リファレンス」の「Amazon VPC Lattice サービスの条件キー」を参照してください。

匿名 (認証されていない) プリンシパル

匿名プリンシパルは、署名バージョン 4 (SigV4) で AWS リクエストに署名せず、サービスネットワークに接続VPCされた 内にある発信者です。匿名プリンシパルはサービスネットワークのサービスに対して認証されていないリクエストを認証ポリシーで許可されている場合には実行できます。

認証ポリシーの例

認証されたプリンシパルによるリクエストが必要な認証ポリシーの例には次のものがあります。

すべての例では us-west-2リージョンを使用し、架空のアカウント が含まれていますIDs。

例 1: 特定の AWS 組織によるサービスへのアクセスを制限する

次の認証ポリシーの例では、ポリシーが適用されるサービスネットワーク内のサービスにアクセスする権限を、認証されたすべてのリクエストに付与します。ただし、リクエストは、 条件で指定された AWS 組織に属するプリンシパルから発信される必要があります。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "aws:PrincipalOrgID": [ 
                  "o-123456example"
               ]
            }
         }
      }
   ]
}

例 2: 特定のIAMロールによるサービスへのアクセスの制限

次の認証ポリシーの例では、 IAM ロールを使用して Resource要素で指定されたサービスに対してリクエストを行う、認証されたHTTPGETリクエストrates-clientにアクセス許可を付与します。Resource 要素のリソースはポリシーがアタッチされているサービスと同じです。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": [
               "arn:aws:iam::123456789012:role/rates-client"
            ]
         },
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": [
            "arn:aws:vpc-lattice:us-west-2:123456789012:service/svc-0123456789abcdef0/*"
         ],
         "Condition": {
            "StringEquals": {
               "vpc-lattice-svcs:RequestMethod": "GET"
            }
         }
      }
   ]
}

例 3: 特定の の認証されたプリンシパルによるサービスへのアクセスを制限する VPC

次の認証ポリシーの例では、VPCID VPCが のプリンシパルからの認証されたリクエストのみを許可しますvpc-1a2b3c4d。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringNotEquals": {
               "aws:PrincipalType": "Anonymous"
            },
            "StringEquals": {
               "vpc-lattice-svcs:SourceVpc": "vpc-1a2b3c4d"
            }
         }
      }
   ]
}

認可の仕組み

VPC Lattice サービスがリクエストを受信すると、 AWS 適用コードは関連するすべてのアクセス許可ポリシーを一緒に評価して、リクエストを承認または拒否するかどうかを決定します。認証中にリクエストコンテキストに適用されるすべてのIAMアイデンティティベースのポリシーと認証ポリシーを評価します。デフォルトでは、認証タイプが AWS_IAM の場合、すべてのリクエストは暗黙的に拒否されます。関連するすべてのポリシーからの明示的な許可はデフォルトに優先します。

認可では次のことが行われます。

次の図は認可の流れを示しています。リクエストが行われると、関連するポリシーによって特定のサービスへのリクエストアクセスが許可または拒否されます。