CLI

AWS CLI 2段階認証(MFA)制限のスイッチロールで環境切替え

AWSマルチアカウント環境で、2段階認証(MFA)制限をかけたロールに対してAWS CLIでスイッチします。

ついでにセッション名の固定というTipsもご紹介します。

スポンサーリンク

前提

いくつか事前準備や前提知識が必要になります。

2段階認証(MFA)制限付きのロール設定

2段階認証(MFA)制限付きのロール設定自体は、AWSマネジメントコンソールで行います。

設定手順や実行環境などの説明は、以下の記事をご参照ください。


今回は、この手順が完了しているものとして進めます。AWSアカウントIDは引き続き以下を使用します。

環境AWSアカウントID
踏み台(STEP)111111111111
開発(DEV)222222222222
本番(PROD)333333333333

またスイッチ先のロール名は、管理者用として作成した AdminStepUserRole を使用します。

AWS CLI 名前付きプロファイル

AWS CLIで –profile というオプションを使用します。

設定手順や説明は、以下の記事をご参照ください。

手順

それでは設定していきます。 といっても1コマンド打って1ファイル編集するだけです。

AWS CLIの設定

IAMユーザーのアクセスキー保存

まず踏み台環境(STEP)に作成した、IAMユーザーの認証情報(アクセスキー)の設定をします。

$ aws configure --profile zootest-user-01-step
AWS Access Key ID [None]: xxxxxxxxxxx
AWS Secret Access Key [None]: yyyyyyyyyyyyy
Default region name [None]: ap-northeast-1
Default output format [None]:
$

AWS CLI設定ファイル スイッチロールの設定

次に、~/.aws/configへスイッチ先環境(開発、本番)のロールの設定を追加します。

aws configure set というサブコマンドでの設定も可能ですが、編集内容が多く、configファイルの場所を把握している場合は、viなどで直接編集したほうが楽です。

$ vi ~/.aws/config
...

## 踏み台環境(STEP) のIAMユーザーは、aws configure で既に設定されています
[profile zootest-user-01-step]
region = ap-northeast-1

## 開発(DEV)の設定を追加します
[profile zootest-user-01-dev]
region = ap-northeast-1
role_arn=arn:aws:iam::222222222222:role/AdminStepUserRole
source_profile=zootest-user-01-step
mfa_serial=arn:aws:iam::111111111111:mfa/zootest-user-01

## 本番(PROD)の設定を追加します
[profile zootest-user-01-prod]
region = ap-northeast-1
role_arn=arn:aws:iam::333333333333:role/AdminStepUserRole
source_profile=zootest-user-01-step
mfa_serial=arn:aws:iam::111111111111:mfa/zootest-user-01

...

以下、設定項目の説明です。

【 role_arn 】
スイッチ先のロールARNを指定します。
arn:aws:iam::AWSアカウントID:role/ロール名


【 source_profile 】
スイッチ元のプロファイル名を指定します。
上記例では zootest-user-01-step で設定したプロファイルのIAMユーザーからスイッチします。


【 mfa_serial 】
QRコードを読み取ったMFAデバイスのARNを指定します。
arn:aws:iam::AWSアカウントID:mfa/IAMユーザー名

なおMFAデバイスのARNは、AWSマネジメントコンソールのIAMユーザーの認証情報画面から確認できます。

スイッチロール確認

以上で設定完了したので確認します。

コマンド実行時、MFAコードの入力を求められます。

$ aws s3 ls --profile zootest-user-01-dev
Enter MFA code for arn:aws:iam::111111111111:mfa/zootest-user-01:[6桁のコードを入力]
...
DEV環境のバケット一覧が出力されます
...

$
$ aws s3 ls --profile zootest-user-01-prod
Enter MFA code for arn:aws:iam::111111111111:mfa/zootest-user-01:[6桁のコードを入力]
...
PROD環境のバケット一覧が出力されます
...

$


なお踏み台アカウントのプロファイルを指定しても、踏み台のIAMユーザーには、実質MFA作成以外の操作を拒否するpolicyを設定しているのでエラーとなります。

$ aws s3 ls --profile zootest-user-01-step

An error occurred (AccessDenied) when calling the ListBuckets operation: Access Denied
$

Tips

スイッチロール時(AssumeRole)の認証情報

コマンド実行時、MFAの入力は毎回求められるわけではありません。

~/.aws/cli/cache に認証情報が保存され、情報の有効期限(デフォルト1時間)内であれば6桁のコードを入力せずにコマンド実行できます。

## スイッチロール単位で作成され、同じファイルが更新されます
$ find  ~/.aws/cli/cache -type f
/Users/xxx/.aws/cli/cache/xxxxx.json
/Users/xxx/.aws/cli/cache/yyyyy.json
/Users/xxx/.aws/cli/cache/12345.json
/Users/xxx/.aws/cli/cache/56789.json
$
## 中身を確認してみます
$ cat /Users/xxx/.aws/cli/cache/56789.json | jq
{
  "Credentials": {
    "AccessKeyId": "aaa",
    "SecretAccessKey": "bbb",
    "SessionToken": "ccc==",
    "Expiration": "2021-07-12T22:47:36+00:00"
  },
  "AssumedRoleUser": {
    "AssumedRoleId": "xxx:botocore-session-1626126444",
    "Arn": "arn:aws:sts::222222222222:assumed-role/AdminStepUserRole/botocore-session-1626126444"
  },
  "ResponseMetadata": {
    "RequestId": "xxx-yyy-zzz-111-222",
    "HTTPStatusCode": 200,
    "HTTPHeaders": {
      "x-amzn-requestid": "xxx-yyy-zzz-111-222",
      "content-type": "text/xml",
      "content-length": "1522",
      "date": "Mon, 12 Jul 2021 21:47:35 GMT"
    },
    "RetryAttempts": 0
  }
}
$

上記例では、 “Expiration”: “2021-07-12T22:47:36+00:00″、日本時間(JST)はその時刻から+9時間なので13日のAM 07:47が期限となります。
(が僕の環境では、それより早めに(15分ほど前)に期限切れとなってる気がしました。。

セッション名を固定して操作履歴を追跡する

~/.aws/config で role_session_name を指定できます。

[profile zootest-user-01-prod]
region = ap-northeast-1
role_arn=arn:aws:iam::333333333333:role/AdminStepUserRole
source_profile=zootest-user-01-step
mfa_serial=arn:aws:iam::111111111111:mfa/zootest-user-01

## セッション名を追加します
role_session_name=zootest-user-01

セッション名を特に指定しない場合は、自動的に生成されます。(AWS CLIでは botocore-session-ランダム数値 になる模様)



この role_session_name は任意ですが、IAMユーザー名と同じにすると誰かと重複することなく AWS CloudTrail でAWS CLIからのアクセス履歴を簡単に追えるようになります。

以下のように、CloudTrailのイベント履歴画面でユーザー名を条件に、素早く正確に検索できるようになります。

これがbotocore-session-ランダム数値 のままだと問題がおきたときに、誰が何をしたかがサクッと追えなくなってしまいます。

またAWSマネジメントコンソールでのスイッチロールのセッション名は自動でIAMユーザー名が設定されているようで、その点からもセッション名を統一したほうが追跡が楽になります。

セッション名にIAMユーザー名を適用することを強制する

role_session_name を IAMユーザー名でお願いね! とチームでルールづくりしても設定ミスや詐称の不安は拭えないので、システムでチェックします。

こちらの記事の開発環境(DEV)・本番環境(PROD)用 YAMLファイル作成 のロールStringLike: sts:RoleSessionName: ${aws:username} の設定を追加します。

# 管理者ロール
Resources: 
  AdminStepUserRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: "AdminStepUserRole"
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Principal:
              AWS:
                - !Sub "arn:aws:iam::${StepAccountID}:user/zootest-user-01"
            Action:
              - 'sts:AssumeRole'
            Condition:
              Bool:
                aws:MultiFactorAuthPresent: true

              ## この StringLike の条件を追加します
              StringLike:
                sts:RoleSessionName: ${aws:username}
...


この条件を設定した上で、IAMユーザー名と一致しないセッション名でスイッチロールすると以下のようにエラーで弾いてくれます。

$ aws s3 ls --profile zootest-user-01-prod
Enter MFA code for arn:aws:iam::111111111111:mfa/zootest-user-01:[6桁のコードを入力]

An error occurred (AccessDenied) when calling the AssumeRole operation: User: arn:aws:iam::111111111111:user/zootest-user-01 is not authorized to perform: sts:AssumeRole on resource: arn:aws:iam::333333333333:role/AdminStepUserRole
$



今回は以上です〜ノシ

参考

アリガト━━━ヾ(´∀`)ノ━━━━♪

AWS CLI での IAM ロールの使用 多要素認証を使用する
サポートされる config ファイル設定
[アップデート] IAMロールセッション名にユーザー名を強制できる条件 sts:RoleSessionName が使えるようになりました

関連書籍