ヤマムギ

growing hard days.

*

IAMユーザーにパスワード変更とMFA設定を許可する

      2022/11/21

組織管理のIAMで、ユーザーにMFAを使ってサインインしない限り操作は許可しないとしたいですよね。
個別のIAMポリシーにConditionをつけるのも面倒なので、IAMユーザーにはパスワード変更とMFA設定をまず許可して、スイッチロールをMFAサインインのCondition付きにしてみました。

最初、IAMユーザーにMFA設定を許可してなかったので、スイッチロールにはMFA必要、でも設定できないというデッドロックに陥っちゃってました!

パスワード変更のIAMポリシーはAWS管理ポリシーのIAMUserChangePasswordにiam:GetLoginProfileアクションを追加したインラインポリシーにしています。
iam:GetLoginProfileがないと、既存パスワードがマネジメントコンソールから変更できないので、そうしました。

MFA設定のIAMポリシーはこちら「IAM: IAM ユーザーに MFA デバイスの自己管理を許可する」をそのまま使っています。

両方ともポリシー変数 ${aws:username} を使用しているので、ユーザーをまとめているグループがあるならそこにそのままアタッチできます。

  • 自分のサインイン情報画面

  • 他の人のサインイン情報画面

スイッチロールする前に自分のMFAだけコントロールできるようになりました!


最後までお読みいただきましてありがとうございました!

「AWS認定資格試験テキスト&問題集 AWS認定ソリューションアーキテクト - プロフェッショナル 改訂第2版」という本を書きました。

「AWS認定資格試験テキスト AWS認定クラウドプラクティショナー 改訂第3版」という本を書きました。

「ポケットスタディ AWS認定 デベロッパーアソシエイト [DVA-C02対応] 」という本を書きました。

「要点整理から攻略するAWS認定ソリューションアーキテクト-アソシエイト」という本を書きました。

「AWSではじめるLinux入門ガイド」という本を書きました。

 - AWS ,

ad

ad

  関連記事

ブラウザからJavaScript SDKを使ってAmazon S3 への写真のアップロードチュートリアルをやってみました

ブラウザから Amazon S3 への写真のアップロードをやってみました。 HT …

AWS CLIでS3マルチパートアップロードを確認

AWS CLI を使用して、Amazon S3 にファイルをマルチパートアップロ …

Amazon SES(Simple Email Service)でメール受信時のアクションでLambdaを実行して渡されるデータを見てみる

Amazon SESで受信したメールをS3に保存して、S3のトリガーでLambd …

AWS Lambda KMSを使って環境変数を暗号化、復号化する(Python)

Lambda内で外部APIを使用する場合などをユースケースとして、環境変数をKM …

AWS Control TowerにOUを追加する

AWS Control TowerにOUを追加する 管理アカウントでAWS Co …

AWS Client VPNを設定しました

ユーザーガイドのクライアント VPN の開始方法に沿ってやりました。 AWSクラ …

S3バケットにWebフォントをアップロードしてCORSを設定する

Webフォントファイルは、モジワク研究さんのマメロンを使用させていただきました。 …

AWS Summit Tokyo 2017 聴講したセッションのメモ

2017年6月に参加しましたAWS Summitで聴講したセッションのメモを記し …

Amazon Location Service入門ワークショップ-ルート計算

Amazon Location Service入門ワークショップのアプリで、ルー …

「Label Training Data for Machine Learning」チュートリアルの記録

Label Training Data for Machine Learning …