ロールベースのアクセス制御に Amazon Web Services Session Tags を使用する

Amazon Web Services (AWS) Session Tags を使用して、AWS API とリソースに対するロールベースのアクセス制御（RBAC）を実装する方法を学びます。

Amazon Web Services (AWS) Session Tags を使用すると、リソースにタグを付け、ユーザーにキーと値のペアを割り当てることで、AWS API とリソースに対するロールベースのアクセス制御 (RBAC) を実装できます。

このガイドの例では、まず AWS Session Tags を使って AWS リソースにタグを付け、その後、AWS IAM ロール用のポリシーを作成します。これにより、このロールと適切なタグを持つユーザーは、AWS リソースに対して特定のアクションを実行できるようになります。次に、Auth0 でルールを作成し、Auth0 ユーザーに AWS IAM ロールと適切な AWS Session Tags を付与して、それらをトークン内の SAML アサーションを通じて渡します。この例は、Amazon Web Services をシングルサインオン用に設定する の例を基にしています。

AWS API とリソースで AWS Session Tags を使用するには、次の手順が必要です。

1. AWS インスタンスにタグを付ける。
2. 専用の AWS IAM ロールを作成する。
3. Auth0 ルールを作成する。
4. 設定をテストする。

​

前提条件

• 管理者権限のある Amazon Web Services (AWS) アカウント が必要です。
• AWS を SSO 用に設定する
• AWS の VM インスタンスをいくつか用意する。このガイドの例では、3 つの個別のインスタンスを使用します。

​

AWS インスタンスにタグを付ける

AWS リソースにタグを追加します。Amazon Elastic Compute Cloud: Tag your Amazon EC2 resources の手順に従ってください。

ここまでで 3 つのインスタンスを作成しているはずです。次のタグを追加してください。

インスタンス	タグ
1	キー: CostCenter、値: marketing。 キー: Project、値: website。
2	キー: CostCenter、値: engineering。 キー: Project、値: management_dashboard。
3	キー: CostCenter、値: marketing。 キー: Project、値: community_site。

​

専用のAWS IAMロールを作成する

前提条件で設定した AWS SAML アイデンティティプロバイダー を使用して IAMロールを作成します。AWS Identity and Access Management User Guide: Creating a Role for SAML 2.0 Federation (Console) の手順に従ってください。

ロールを設定する際は、必ず次のパラメータを使用してください。

パラメータ	説明とサンプル値
SAML Provider	前提条件で作成したアイデンティティプロバイダーの名前 (auth0SamlProvider など) 。Allow programmatic and AWS Management Console access を選択します。

Attach permissions policies を求められたら、次の JSON を使用してポリシーを作成し、VirtualMachineAccessByCostCenter という名前を付けます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/CostCenter": "<%= "${aws:PrincipalTag/CostCenter}" %>"
                }
            }
        }
    ]
}

ポリシーを作成したら、ロールのポリシー一覧を更新し、新しいポリシーを絞り込んで選択します。

設定を確認する際は、必ず次のパラメータを使用してください。

パラメータ	説明
ロール名	AccessByCostCenter など、ロールを表すわかりやすい名前。
ロールの説明	そのロールを何のために使用するのかを示す説明。

​

Auth0 ルールを作成する

AWS のロールとタグをユーザーに対応付けるには、Auth0 でルールを作成する必要があります。これらの値は、その後トークン内の SAML アサーションを介して渡されます。例:

awsAccount 変数の値は、ご自身のアカウント番号に置き換えてください。

function(user, context, callback) {
  var awsAccount = '013823792818';
  var rolePrefix = `arn:aws:iam::` + awsAccount; 
  var samlIdP = rolePrefix + `:saml-provider/auth0SamlProvider`;

  user.awsRole = rolePrefix + `:role/AccessByCostCenter,` + samlIdP;
  user.awsRoleSession = user.email;
  user.awsTagKeys = ['CostCenter', 'Project'];
  user.CostCenter = 'marketing';
  user.Project = 'website';

  context.samlConfiguration.mappings = {
    'https://aws.amazon.com/SAML/Attributes/Role': 'awsRole',
    'https://aws.amazon.com/SAML/Attributes/RoleSessionName': 'awsRoleSession',
    'https://aws.amazon.com/SAML/Attributes/PrincipalTag:CostCenter': 'CostCenter',
    'https://aws.amazon.com/SAML/Attributes/PrincipalTag:Project': 'Project'
  };

  callback(null, user, context);
}

​

設定をテストする

これで、Auth0 ユーザーを使用して AWS コンソールにログインし、設定をテストできるはずです。

ログインするには、AWS コンソールの SSO ログインが必要です。確認方法は次のとおりです。

1. Auth0 Dashboard > アプリケーション > アプリケーション に移動し、表示するアプリケーションの名前を選択します。
2. アドオン タブで、SAML2 Web App アドオンを有効にします。
3. 使用状況 タブで、Identity Provider Login URL を確認します。
4. 表示された URL にアクセスします。
5. サインイン後、EC2 から Instances を選択します。CostCenter が marketing のインスタンスを1つクリックし、Actions > Instance State > Stop をクリックします。操作が正常に完了することを確認します。
6. CostCenter が engineering のインスタンスをクリックし、Actions > Instance State > Stop をクリックします。操作がエラーで失敗することを確認します。

​

詳しく見る

• Amazon Web Services をシングルサインオン用に設定する
• Amazon Web Services を SAML サービスプロバイダーとして設定する