IAMポリシーのtips

各論

• IAMのマネージドポリシーでMFAを矯正したら、CLIでの操作が拒否される容認った
  • aws sts get-session-token --serial-number {MFAデバイスのARN} --token-code {MFAトークン} を実行して、一時的な認証情報を取得する

  • 取得した一時的な認証情報（AccessKeyId、SecretAccessKey、SessionToken）をCLIのプロファイルに設定する

Conditionに書くこと

• aws:MultiFactorAuthPresent MFAが有効かどうか
• aws:aws:MultiFactorAuthAge MFAセッションの最大長（秒）

タグベースのアプローチ

• IAMユーザーやAWSリソースやSecretsManagerのシークレットに付与したタグに基づいてアクセス制御を行う

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:us-east-1:123456789012:secret:MySecret-*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalTag/Department": "Engineering", // IAMユーザーとかアプリケーションにつけたタグ
          "aws:ResourceTag/Application": "web-app" // リソースタグ
        }
      }
    }
  ]
}