ヤマムギ

growing hard days.

*

IAMユーザーにパスワード変更とMFA設定を許可する

      2022/11/21

組織管理のIAMで、ユーザーにMFAを使ってサインインしない限り操作は許可しないとしたいですよね。
個別のIAMポリシーにConditionをつけるのも面倒なので、IAMユーザーにはパスワード変更とMFA設定をまず許可して、スイッチロールをMFAサインインのCondition付きにしてみました。

最初、IAMユーザーにMFA設定を許可してなかったので、スイッチロールにはMFA必要、でも設定できないというデッドロックに陥っちゃってました!

パスワード変更のIAMポリシーはAWS管理ポリシーのIAMUserChangePasswordにiam:GetLoginProfileアクションを追加したインラインポリシーにしています。
iam:GetLoginProfileがないと、既存パスワードがマネジメントコンソールから変更できないので、そうしました。

MFA設定のIAMポリシーはこちら「IAM: IAM ユーザーに MFA デバイスの自己管理を許可する」をそのまま使っています。

両方ともポリシー変数 ${aws:username} を使用しているので、ユーザーをまとめているグループがあるならそこにそのままアタッチできます。

  • 自分のサインイン情報画面

  • 他の人のサインイン情報画面

スイッチロールする前に自分のMFAだけコントロールできるようになりました!


最後までお読みいただきましてありがとうございました!

「AWS認定資格試験テキスト&問題集 AWS認定ソリューションアーキテクト - プロフェッショナル 改訂第2版」という本を書きました。

「AWS認定資格試験テキスト AWS認定クラウドプラクティショナー 改訂第3版」という本を書きました。

「ポケットスタディ AWS認定 デベロッパーアソシエイト [DVA-C02対応] 」という本を書きました。

「要点整理から攻略するAWS認定ソリューションアーキテクト-アソシエイト」という本を書きました。

「AWSではじめるLinux入門ガイド」という本を書きました。

 - AWS ,

ad

ad

  関連記事

特定AWSアカウント特定リージョンのCloudFormationスタックを削除するLambda(Python)

やりたいこと 特定アカウント内特定リージョン内のCloudFormationスタ …

Well-Architected Tool レンズヴァージョンアップ

当ブログのWell-Architectedレビューを久しぶりにやろうと思い、We …

「JAWS-UG in AWS Cloud Roadshow 2017 大阪」で運営をしました

AWS Cloud Roadshow 2017 大阪のナイトイベントで、「JAW …

WordPressで発生した「No space left on device」に対応

CloudWatch Logsメトリクスフィルターで「No space left …

AWSアカウント内特定リージョン内のDynamoDBテーブルを全削除するLambda(Python)

やりたいこと タイトル通りですが、特定アカウントの特定リージョン内のDynamo …

Systems Manager セッションマネージャアクセスのCloud9(SSHなし)

作成画面 いつからできるようになっていたのか気づいてなかったのですが、Cloud …

名前解決してセッションマネージャが使えるようにVyOSのhost_name.pyを編集しました

発生したエラー セッションマネージャからこんなエラーが出力されました。 [cra …

AWS BatchでPandocコンテナイメージを実行する

「ECR(Amazon Elastic Container Registry)に …

ヤマムギ vol.9 (AWS)EC2からAWS CLIコマンドを実行してみようハンズオン 手順

このブログは2020/5/5に開催しました、「ヤマムギ vol.9 (AWS)E …

S3バケットポリシーですべてDenyにしてしまったらルートユーザーの出番

特定のConditionsを指定して、それ以外はすべて拒否するS3バケットポリシ …