AWS IAM
こんにちは、アプリケーションサービス本部、DevOps担当の兼安です。 今回は、GitHubとAWSの間のOIDC認証で、immutable subject claimsが原因でつまずきました。 これを機に、この機能の解説と、それに伴う注意点を共有します。 簡単に結論を述べると、GitHu…
Amazon Bedrock の API キーの正体は IAM のサービス固有認証情報です。short-term と long-term の違い、既定ポリシーが許す範囲、そしてアクセスキー流出時に攻撃者が長期キーを発行する連鎖とその防ぎ方までを IAM の観点から整理しました。
はじめに こんにちは。クロスインダストリー第1本部クラウドリライアビリティ2課の大土です。 今回は、2025年11月にリリースされたS3汎用バケットの属性ベースのアクセス制御（以下、ABAC）を試してみました。 S3バケットへのアクセスを特定のIAMロールに限…
今月誕生日の人、おめでとうございます エデュケーショナルサービス課の森純子です。 私は「IAM Identity Center の permission sets だと権限設計の自由度が足りない…でもアカウントごとに個別フェデレーションを組むのは管理が煩雑になるし…」と思ってまし…
今月誕生日の人、おめでとうございます エデュケーショナルサービス課の森純子です。 2026年7月29日、AWS IAM Identity Center のマルチリージョンサポートが、Identity Center ディレクトリをアイデンティティソースとして使用するインスタンスにも拡張され…
新しい IAM ポリシーシミュレーターで SCP の条件キー付き Deny をシミュレーション可能になりました。GUI での簡易確認から CLI での精密テストまで、実際の SCP を使って新機能を検証します。
セキュリティサービス部 佐竹です。今回は AWS Config Advanced Queries を活用して、AWS Organizations 全体における IAM User および IAM Group の保持権限を棚卸しする方法をご紹介します。AWS Config Aggregator と Advanced Queries を組み合わせること…
こんにちは！イーゴリです。ユーザーがJITノードへの接続を試みると、アクセス理由の入力が求められ、承認ポリシーに基づいて自動承認されるか、承認者へ通知が送られます。承認者への通知は、メール、またはSlackやMicrosoft Teamsと連携するAmazon Q Devel…
AWS のサービスリファレンス情報（servicereference.us-east-1.amazonaws.com）を活用し、ターミナルから離れずに IAM アクション名や条件キー、ARN フォーマットを取得する方法を紹介。JSON の構造解説とシェル関数による実用例を掲載しました
IAM アクセスキーの流出による利用料の高騰などの事例が後をたちません。 AWS からの通知（いわゆるアウトバウンドケース）は英語文面であるものの順を追って対処していけば良いように書かれていますが焦っている時には難しいと感じるお客様も多くいらっしゃ…
この記事で分かること simulate_principal_policy で ResourceArns を省略すると、正しいポリシーでも implicitDeny が返るケースがある ContextEntries に aws:RequestedRegion 等を渡さないと、DenyRegion 型 SCP に引っかかって誤判定になる Condition 付…
はじめに 従来のロール作成フロー 新しいロール作成フロー ロール名の入力 ポリシーの選択 ロールの作成 試してみた感想 従来との比較 まとめ 余談 こんにちは。アプリケーションサービス部エデュケーショナルサービス課の山本です。 部の名前は「アプリ」で…
こんにちは。最近京都へ旅行に行った荒井です。 平日に行ったおかげもあり、かなり人が少ない中ゆったり観光できてよかったです。 私事ですが、最近iphoneを13miniから17に機種変更しました。 それに伴いMFAデバイスを登録し直そうとした際に本記事のタイト…
概要 これまでAWSマネジメントコンソールに遷移して行っていた「IAMロールの権限更新」が、Cloud Automatorの画面内だけで完結するようになりました。 画面を行き来する手間がなくなり、よりスムーズに設定を最新状態へアップデートいただけます。 注意点 20…
はじめに IAMロールの連鎖(Role Chaining)とは？ 実践！検証環境の構築 step1: 中継地点「Role-A」の作成 step2: ゴール地点[Role-B]の作成 step3: Role-A に「Role-Bへ行く許可」を与える AWS CloudShellで連鎖を実行してみる 1. まずはUserからRole-Aへ 2.…
AWS re:Invent 2025 で発表された IAM Policy Autopilot を CLI 実行する形で試してみました。 AWS CloudShell 環境でも問題なく動作し、実際の IAM ポリシーとしてアップロードする手順までを検証しています。
デフォルトでは一律、請求情報への IAM アクセスが制限されていると思っていましたが、アカウントの発行方式により状況が変わることの気づきがあったので共有となります。
こんにちは。 アプリケーションサービス部、DevOps担当の兼安です。 今週はいよいよAWS re:Invent 2025ですね。 本格的に始まる前ではありますが、早速多くの新サービスやアップデートが発表されています。 そんな中、コードからIAMポリシーを生成するIA…
セキュリティサービス部 佐竹です。本ブログは、IAM の最小権限を実現するためのセキュリティサービスである IAM Access Analyzer について、その中でも特に有用である「Unused Access (未使用アクセス)」機能の利用料に関するブログです。AWS Organizations…
マネージドサービス部 佐竹です。AWS re:Inforce 2025 に現地参加してきましたので、そのログを順番に記述しています。本ブログは SEC201 Security foundations: How AWS designs the cloud to be the most secure for your business のセッションレポートで…
マネージドサービス部 佐竹です。 AWS re:Inforce 2025 に現地参加してきましたので、そのログを順番に記述しています。本ブログは IAM221 Secure and scalable customer IAM with Cognito: Wiz's success story の解説です。
AWSのIAMユーザー管理を自動化し、未使用のユーザーを効率的に無効化する方法を紹介。セキュリティリスクを未然に防ぐ手順をご覧ください。
こんにちは！イーゴリです。 AWS環境のセキュリティについて、4回に分けて解説しています。ぜひ、前回までの記事もご覧ください。 ①セキュアなAWS環境の設計 blog.serverworks.co.jp ②AWS環境のセキュリティ対策 blog.serverworks.co.jp ③AWS環境へのサイバ…
はじめに 何があったのか 調査結果 大きなファイルサイズでは自動的にマルチパートコピーになる。 マルチパートコピーでは、GetObjectTagging が必要になる。 タグありオブジェクトで調べてみた。 まとめ さいごに はじめに こんにちは、アプリケーションサ…
はじめに 前提条件 システム構成 やってみる S3 DynamoDB ユーザーIDの取得方法（Boto3） おわりに はじめに こんにちは、アプリケーションサービス部 ディベロップメントサービス１課の北出です。 Cognitoでユーザーにアクセス権限を付与するにあたって、あ…
re:Invent 会期中のニュース発表から漏れた、いわゆる「落選組」のニュースの中で、割と大きめのアップデートとしてOrganzations 組織のメンバーアカウントに対して管理アカウントから集中的に管理ができるようになったニュースがありましたのでその紹介と、…
マネージドサービス部 佐竹です。本ブログは「自分の認証情報（My security credentials）」の画面から、コンソールのパスワードを更新する際に、IAM ユーザーに `iam:ChangePassword` のポリシーが適切に付与されているにも関わらず「iam:ChangePassword へ…
垣見です。 IAMのベストプラクティスとしてよく聞く「MFA有効化」は自動処理ワークロード用のIAMユーザーには適用するべきなのか気になって調査した結果、「そもそもIAMユーザーではなくIAMロールを使うべし」という結論になりました。 はじめに 用語 結論 M…
こんにちは、やまぐちです。 概要 ユーザとグループの管理をどこでするか？ Entra ID と IAM Identity Center の両方でユーザとグループを管理する場合（手動プロビジョニング） Entra ID 側のみでユーザとグループを管理する場合（自動プロビジョニング） …
2024年6月のre:Inforceで発表された注目の新機能、AWS Identity and Access Management (IAM) の多要素認証で、PasskeyとしてWindows Helloの顔認証を登録しログインした際の設定手順を紹介します。
マネージドサービス部 佐竹です。本ブログでは AWS Systems Manager クイックセットアップを利用してデフォルトホスト管理設定（Default Host Management Configuration setting）を AWS Organizations 全体で利用する際の具体的なセットアップ方法をステッ…
AWS Identity and Access Management (IAM) が多要素認証用のパスキーをサポートしたという話を耳にしたので早速試してみた。
エンタープライズクラウド部の山下(祐)です。今回は、IAM Access Analyzer の分析結果を、AWS CLI でCSV出力してみたいと思います。 IAM Access Analyzer とは マネジメントコンソールのエクスポートでは、JSONしかエクスポートできない 実行コマンド コマン…
エンタープライズクラウド部の山下(祐)です。 本ブログでは、IAMユーザーの認証情報が漏洩した際の対処を、シンプルに出来るか考えてみたいと思います。 背景 留意事項 前提条件 対象とする認証情報 対象リソース 対象フェーズ 考察 No.1について No.2につい…
この度、既存の IAM マネージドポリシー CloudWatchFullAccess に廃止の案内がありましたので、そのご紹介と解説をするブログ記事となります。 また、本件について 2023年10月24日 前後に配信された AWS 通知に対するご注意事項も含んでいます。
こんにちは！ エンタープライズクラウド部技術2課の日高です。 今回はマルチアカウントへの「権限集約のポイントと必要な移行ステップ」についてブログを記載しようと思います。 はじめに マルチアカウントにおけるユーザー認証方法の選択基準 マルチアカウ…
こんにちは！イーゴリです。 今日は下記のAWSアップデートを紹介したいと思います。 aws.amazon.com 新しいコンテキストキーを使用して、ACM ユーザーが証明書発行パラメータをカスタマイズする方法を定義し、1) 特定の証明書の検証方法、2) ワイルドカード…
こんにちは、技術2課の加藤ゆです。 最近ようやく気温が10度代になりましたね、涼しい～薄着で寝たら鼻かぜを引きました。 IAM Policy Simulator とは？ 何が出来る？ ポイント 使ってみよう IAM ポリシーシミュレーターコンソールへアクセス 使い方 １．IAM…
こんにちは！ エンタープライズクラウド部技術2課の日高です。 今回は「IAMグループとIAMユーザー設定を視覚化するスクリプト」を作成したので、そちらについてブログを記載しようと思います。 はじめに 前提と作成したスクリプト解説 前提 作成したスクリプ…
エンタープライズクラウド部 小林(嵩) です。 複数のクラウドサービス導入が進み、認証情報の管理工数削減やセキュリティガバナンスの強化等目的に、シングルサインオン（SSO）の仕組み導入は良くある話かと思います。 AWS マネジメントコンソールへのアクセ…
GitHub ActionsでのAWS連携が一段と便利に。OIDC Identity Provider設定の簡素化により、証明書のthumbprint管理が不要になります。今回のアップデート内容を詳しくご紹介。
こんにちは、テクニカルサポート課の荒川です。 AWS Cost Explorer で表示するために必要な権限について、過去に記事があります。 blog.serverworks.co.jp 今回、新しい IAM アクションが有効となり、上記記事内のポリシーでは AWS Cost Explorer で表示する…
マネージドサービス部 佐竹です。本ブログでは、AWS CLI を MFA を都度入力せずにスイッチロールと共に12時間連続で利用する方法として、実際のコマンドと設定について記載しています。この内容に関するブログは世の中に色々あると思うのですが、今回は比較…
みなさん、こんにちは。 AWS CLI が好きなテクニカルサポート課の市野です。 弊社テクニカルサポート宛でいただいたお問い合わせで、私が認識していなかった挙動についての投稿となります。 発生していた事象 以下のような IAM ポリシーで、接続元グローバル…
3月よりIE課（インターナルエデュケーション課） に異動しました山﨑です。 今回はAWS Organizations における「アクセス統制」について整理してみます AWS Organizations におけるアクセス統制 AWS Organizations のおさらい アクセス統制について ①IAM方式…
こんにちは。AWS CLIが好きな福島です。 はじめに 参考 概要図 やること ①IDプロバイダーの設定 ②IDプロバイダーへのIAMロールの割り当て ③②で作成したIAMロールの信頼関係の編集 ④GitHubのSecretsにIAMロールのARNを保存 ⑤GitHub ActionsによるGitHubからS3…
こんにちは。技術課の山本です。 以前の記事で IAM Roles Anywhere の概要に触れました。 おまけ、OpenSSL 篇： 今回は上の記事で解説した構成を、実際に構築してみます。 認証局は Private CA (Short-Liveモード) を使用して構築します。 ※ 図内に書いてい…
こんにちは。技術課の山本です。 IAM Roles Anywhere の認証方式を理解するために、一通り触ってみて、概要を整理してみました。 具体的な手順等は別の記事に記載予定です。 ⏩書きました。 Private CA 篇： OpenSSL 篇： IAM Roles Anywhere の利用目的 IAM …
こんにちは！ 現在研修中の日高です！！ AWS Cost Explorer（今後はCost Explorerと略します）をマネジメントコンソールで表示するために必要な権限を知らず、唐突に気になったので備忘録がてら本ブログにまとめていきたいと思います。 前提として今回はアク…
カスタマーサクセス部 佐竹です。 以前ご連絡しました「MFA デバイスを複数登録が可能となった」アナウンスに関連して「元通り1台のみの制限状態で運用したい」というご要望が寄せられましたので、これを可能とする IAM ポリシーを考案しました。
