Cloud9環境を共有した際の環境認証

2023/10/30

Cloud9を環境を構築したIAMユーザー以外に共有したとき、その環境から実行するCLIコマンドやSDKプログラムにはどの権限が適用されるのかを確認しました。

確認結果

環境の認証情報が使用されるので次のとおりでした。

AWSマネージド一時認証情報がONの場合
環境を構築したIAMユーザー、IAMロールの権限
AWSマネージド一時認証情報がOFFで.aws/credentialsに認証情報がある場合
.aws/credentialsの権限
AWSマネージド一時認証情報がOFFで、.aws/credentialsがなくCloud9のEC2にIAMロールが設定されている場合
IAMロールの権限

共有する場合は、AWSマネージド一時認証情報を使用するべきではなさそうです。
開発環境として必要なIAMロールを設定してあげる方法が良さそうです。

確認手順

AWSマネージド一時認証情報がONの場合

IAMロールを引き受けた状態でCloud9環境を構築して、IAMユーザーCloud9ShareUserを招待しました。

Cloud9ShareUserでマネジメントコンソールにサインインして、Cloud9環境にアクセスして、sts get-caller-identityで権限を確認しました。

$ aws sts get-caller-identity
{
    "UserId": "AXXXXXXXXXXXXXXXXXXXX:yamashitam",
    "Account": "123456789012",
    "Arn": "arn:aws:sts::123456789012:assumed-role/OrganizationAccountAccessRole/yamashitam"
}

$ aws sts get-caller-identity

{

"UserId": "AXXXXXXXXXXXXXXXXXXXX:yamashitam",

"Account": "123456789012",

"Arn": "arn:aws:sts::123456789012:assumed-role/OrganizationAccountAccessRole/yamashitam"

}

Cloud9環境を構築したIAMロールを引き受けたセッションの権限で実行されていることがわかりました。

AWSマネージド一時認証情報がOFFで.aws/credentialsに認証情報がある場合

環境を構築したIAMロールセッション側で、AWSマネージド一時認証情報をOFFにしました。
この操作は共有されたIAMユーザー側ではできませんでした。

CLIコマンドaws configureを実行して、IAMユーザーCloud9ShareUserのアクセスキーIDとシークレットアクセスキーを設定しました。
aws configureは構築した側でも招待された側でもどちらでも設定可能でした。

EC2インスタンスにEC2DefaultというIAMロールも引き受けるよう設定しました。
EC2インスタンスでは、IAMロールよりも.aws/credentialsが優先されるのでこれで検証できます。

招待されているCloud9ShareUserで、sts get-caller-identityで権限を確認しました。

$ aws sts get-caller-identity
{
    "UserId": "AXXXXXXXXXXXXXXXX",
    "Account": "123456789012",
    "Arn": "arn:aws:iam::123456789012:user/Cloud9ShareUser"
}

$ aws sts get-caller-identity

{

"UserId": "AXXXXXXXXXXXXXXXX",

"Account": "123456789012",

"Arn": "arn:aws:iam::123456789012:user/Cloud9ShareUser"

}

.aws/credentialsの権限が適用されています。

AWSマネージド一時認証情報がOFFで、.aws/credentialsがなくCloud9のEC2にIAMロールが設定されている場合

rm ~/.aws/credentials で削除しました。

招待されているCloud9ShareUserで、sts get-caller-identityで権限を確認しました。

$ aws sts get-caller-identity
{
    "UserId": "AXXXXXXXXXXXXXXXXXX:i-0fdeefbac6a24eaff",
    "Account": "123456789012",
    "Arn": "arn:aws:sts::123456789012:assumed-role/EC2Default/i-0fdeefbac6a24eaff"
}