菊池修治(192)9191件のシェア(ちょっぴり話題の記事)こんにちは、菊池です。本日ご紹介するアップデートはこちら。CloudFormationCloudFormationのスタックが、タグによるアクセス制御が可能になっています。作成したスタックに対し、タグによって変更・削除の可否が設定できます。やってみた実現したいイメージです。本番環境のタグ:environment:prodが付与されたスタックは開発者には操作させず、それ以外は自由に操作できるようにします。操作を禁止するタグのついたスタックを用意します。続いて、タグによって制限が適用されたIAMを用意します。Roleを用意しました。インラインポリシーの中身は以下の通りです。]}指定のタグがある場合に、スタックの削除と更新を禁止しています。Roleを使って、スタックを削除してみます。はい、ちゃんとエラーが出て削除が抑止されました。こちらも更新実行時にエラーが出ました。他のタグがないスタックは問題なく削除・更新ができました。意図した通りに操作が抑止できていることがわかりました。これだけでは権限分離という意味では問題があります。Roleですが、CloudFormationからの操作は禁止しているものの、PowerUserAccessの権限を持つため直接リソースの操作ができてしまいます。Roleを指定して行うようにしたいと思います。Roleにリソース作成の権限を付与し、作業者のIAMにはCloudFormationのスタック操作のみを許可するようにします。PowerUserAccessのポリシーは外し、以下のインラインポリシーを追加します。RoleにはAdministratorAccessの権限を付与しておき、スタックの更新を行います。実行時のアクセス権限を選択します。はい、こちらもちゃんと、タグ付きのスタックは変更が拒否されました。Roleの権限には関係なく、実行操作者のポリシーにて評価してくれるようです。最後に以上、タグによるCloudFormationの権限制御を紹介しました。1つのAWSアカウント内で複数の環境を運用している場合や、インフラ管理者と開発者でロールを分けるといった場合に、権限分離や誤操作の抑止に使えるのではないでしょうか。リモート】クラスメソッドの会社説明会を開催しますクラスメソッドでは、AWS・AI・ビッグデータ・モバイルなどの技術職や営業のメンバーとして一緒にお仕事をする仲間を大募集しています。#cmdevio新型コロナウイルスの感染拡大を受け、本イベントを延期させていただくことになりました(開催時期未定)。お申し込みいただいた皆様には大変申し訳ございませんが、何卒ご理解いただけますようよろしくお願いいたします。AWSについてライトに色んな情報交換をしましょう。カフェ店長のオカノです。今日はオフィスに用があるので、通勤ラッシュを避けて出社しました。この子は新メンバーのさめくんです。在宅勤務が推奨されているのでオフィスが閑散としており、すこしさみしそうです。使いたいときの注意点を書きました。本が出ていたので読んでみたところよかったので紹介させていただきます。