AssumeRoleでの設定とIAMポリシーについて｜WafCharm

1. はじめに

2023/03/23にWafCharmではCredential Store機能をリリースいたしました。
従来のアクセスキー・シークレットキーを利用した認証に加えて、AssumeRoleを使用してWafCharmへ権限を提供することが可能になりました。

本ブログでは、AssumeRoleでの設定手順を紹介します。

※今回のリリースをもってアクセスキー・シークレットキーの利用は非推奨となります。今後はAssumeRoleの利用を推奨いたしますので、これからWafCharmの利用を開始される場合などはAssumeRoleをご検討ください。

2. AssumeRole とは

AssumeRoleは、AWSリソースへのアクセス権限を付与するために、一時的にクレデンシャルを発行します。

アクセスキー・シークレットキーといった情報を提供することなくアクセス権限を付与できます。

AssumeRole – AWS Security Token Service

3. Credential Store とは

Credential Storeは、AssumeRoleを行うロールのARNや、アクセスキー・シークレットキーといったクレデンシャル情報を登録するためのWafCharm機能です。

WafCharmに登録されているクレデンシャル情報の一覧はもちろん、どのWeb ACL Config/Web Site Configがどのクレデンシャル情報を使用しているか確認することが可能です。

4. 必要なIAMポリシー

WafCharmを利用するためには、”AWSWAFFullAccess” 、 “AmazonS3ReadOnlyAccess” および “CloudWatchReadOnlyAccess” の付与をお願いしています。

設定操作を実施するIAMユーザーには、IAMFullAccess等、ロールの作成や信頼ポリシーの編集などを実施する権限が必要です。

参考：WafCharmご利用の際に必要となるIAMポリシー

5. ロールの作成

AssumeRoleを使用する場合は、AWSマネージメントコンソールにてロールを作成し、WafCharm管理画面にてそのロールのARNを登録した後に再度信頼ポリシーを更新する必要があります。

すべての手順を完了するまでの間、AWSマネージメントコンソールとWafCharm管理画面を行き来する必要がありますので、両方の画面をそれぞれ開いた状態にしておくことをおすすめします。

まずは、AWSマネージメントコンソールにてRoleを作成する部分の手順を説明します。

1. AWSマネージメントコンソールにログインします。
2. IAMダッシュボードを開きます。
3. 左のメニューからRolesをクリックします。

4. Rolesの画面を開いたら、右上のCreate roleボタンをクリックしロールを作成します。

5. Select trusted entityにて、AWS Accountを選択します。

An AWS Accountの箇所では、「This account (アカウントID)」を選択してください。
Optionは変更不要です。

※ロールの作成が完了後、WafCharmから発行された信頼ポリシーを使用する必要がありますので、後半の手順で信頼するアカウントは正しいものに変更されます。

6. Permissions policiesにて、”AWSWAFFullAccess” 、 “AmazonS3ReadOnlyAccess” と “CloudWatchReadOnlyAccess” を追加します。

※S3バケットに対する権限（”AmazonS3ReadOnlyAccess”）については、WafCharmからアクセスできるリソースも制限することを推奨しております。詳細についてはWafCharmご利用の際に必要となるIAMポリシーをご参考ください。
※AWS WAFに対する権限（”AWSWAFFullAccess”）は、システムの都合上、リソース指定はお控えください。