ヤマムギ

growing hard days.

*

IAMセッションポリシーの利用(GetFederationToken)

      2021/08/16


GetFederationTokenでのセッションポリシーは、呼び出し元のIAMユーザーのポリシーで許可されたアクションを絞り込みます。

元のCLI実行ユーザーは、STS GetFederationToken、EC2FullAccess、S3FullAccessをポリシーで許可しています。
ですので以下のような実行が許可されています。

get-federation-tokenでAWS管理ポリシーのAmazonS3FullAccessだけを指定しました。

GetFederationTokenで取得した、AccessKeyId、SecretAccessKey、SessionTokenを以下の環境変数にセットします。

以下のコマンドを実行すると、S3のアクションは許可されますが、EC2のアクションは権限エラーになります。
これは、先にセッションポリシーが評価されて許可されていなければ暗黙的な拒否で終了しています。

get-caller-identityで確認するとfederated-userが出力されます。

セッションポリシーなしの元のIAMユーザーのみに戻るには、端末でunsetしておきました。


最後までお読みいただきましてありがとうございました!

【PR】 「AWS認定試験対策 AWS クラウドプラクティショナー」という本を書きました。

【PR】 「AWSではじめるLinux入門ガイド」という本を書きました。

【PR】 「ポケットスタディ AWS認定 デベロッパーアソシエイト」という本を書きました。

【PR】 「AWS認定資格試験テキスト&問題集 AWS認定ソリューションアーキテクト - プロフェッショナル」という本を書きました。

 - AWS , ,

ad

ad

  関連記事

kintoneでEveryoneに権限が設定されているアプリをAWS Lambdaで一括チェックする

こないだ、kintone Cafeでユーザーが自由に作成している環境だと、どんな …

AWS Application Discovery Serviceのエージェントを実行

本来はオンプレミスのサーバーにエージェントをインストールして、自動でアプリケーシ …

S3に置いたMP3ファイルをTwilioから電話再生する(AWS Lambda Python)

Google Calendar Twilio ReminderのTwilioを使 …

Amazon API Gatewayでモックを作る

超シンプルなAPI Gatewayのサンプルがほしかったので、ユーザーガイドの手 …

Amazon Aurora Serverless のログをCloudWatch Logsに出力する

WordPress W3 Total Cache のDatabaseCacheを …

Rocket.ChatにAWS Lambda(Python)から投稿する

Rocket.ChatにAPIで投稿するテスト(Postman)をやってみて、使 …

VyOSにSSMエージェントをインストールしました

VyOSにSSHでログインするのも面倒なので、SSMエージェントをインストールし …

AlexaにAWSの最新Feedを読み上げてもらう(Lambda Python)

年末にAmazon Echo Dotを購入しましたので、練習がてらAlexaスキ …

Amazon InspectorによるLambda関数の脆弱性検出結果を確認しました

AWS re:Invent 2022期間内に発表されましたAmazon Insp …

Aurora Serverless Data APIを有効にしてLambdaからクエリを実行

Aurora Serverless作成 MySQLを作成しました。 作成時にDa …