クロスアカウントロールを使用したAWSアカウント間のアクセス権限の委任

2023-01-042024-04-21

クロスアカウントロールを使用して、AWSアカウント間でアクセス権限を委任する

特定のAWSリソースに、別のAWSアカウントからアクセスすることをクロスアカウントアクセスと言います。

特定のアカウントにあるリソースを別のアカウントのユーザーと共有します。このようにクロスアカウントアクセスを設定することで、お客様はアカウントごとに IAM ユーザーを作成する必要がなくなります。
IAM チュートリアル: AWS アカウント間の IAM ロールを使用したアクセスの委任

本ページでは、以下のページを参考に、クロスアカウントアクセスの方法を確認します。

https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/tutorial_cross-account-with-roles.html

構築する環境

Diagram of delegate access rights across AWS accounts using IAM roles.

2つのAWSアカウントを使用します。

1つ目のアカウントは2つのリソースを作成します。

1つ目はSSMパラメータストアにパラメータを作成します。
2つ目はIAMロールを作成します。
このIAMロールは、先述のSSMパラメータストアにアクセスするための権限を有しています。

2つ目のアカウントはこのIAMロールを引き受けます。
ロールを引き受けた後、SSMパラメータストアにアクセスできることを確認します。

環境構築用のCloudFormationテンプレートファイル

上記の構成をCloudFormationで構築します。
以下のURLにCloudFormationテンプレートを配置しました。

https://github.com/awstut-an-r/awstut-dva/tree/main/02/002

テンプレートファイルのポイント解説

(参考)SSMパラメータストア

Resources:
  Parameter:
    Type: AWS::SSM::Parameter
    Properties:
      Name: !Sub "${Prefix}-Parameter"
      Type: String
      Value: Test Parameter
Code language: YAML (yaml)

検証用のリソースとして、SSMパラメータを作成します。
特別な設定は行いません。

IAMロール

Resources:
  SSMParameterRole:
    Type: AWS::IAM::Role
    DeletionPolicy: Delete
    Properties:
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Action: sts:AssumeRole
            Principal:
              AWS: !Ref CrossAccountId
      Policies:
        - PolicyName: !Sub "${Prefix}-GetParameterPolicy"
          PolicyDocument:
            Version: 2012-10-17
            Statement:
              - Effect: Allow
                Action:
                  - ssm:DescribeParameters
                Resource: "*"
              - Effect: Allow
                Action:
                  - ssm:GetParameter
                Resource:
                  - !Sub "arn:aws:ssm:${AWS::Region}:${AWS::AccountId}:parameter/${Parameter}"
Code language: YAML (yaml)