認証の準備

• •基本認証には、AWSアカウントからのアクセスキーとシークレットキーの値が必要です。
• •IAM認証では、特定のフォルダパスへのアクセスを許可し、Amazon S3オブジェクトにアクセスするために、EC2ロールにポリシーをアタッチする必要があります。
• •EC2ロール認証を使用したAssumeRoleでは、EC2ロールがIAMロールARNで指定された別のIAMロールを引き受けることができるようにする必要があります。
• •IAMユーザー認証を使用したAssumeRoleには、IAMユーザーのアクセスキーとシークレットキーの値、およびIAMロールのARNが必要です。
• •資格情報プロファイルファイル認証には、資格情報プロファイルファイルのパスとプロファイル名が必要です。資格情報プロファイルファイルには、アクセスキーが含まれています。
• •IAM Roles Anywhere認証には、資格情報プロファイルファイルのパスとプロファイル名が必要です。資格情報プロファイルファイルには、CA証明書ファイルとキーファイルのARNやパスが含まれています。
資格情報プロファイルファイルのパスとプロファイル名を設定するには、Amazon S3 V2接続プロパティで認証タイプとして［資格情報プロファイルファイル認証］を選択する必要があります。
• •フェデレーティッドユーザーシングルサインオン認証には、フェデレーティッドユーザーのユーザー名とパスワード、IdP SSO URL、SAML IDプロバイダのARN、およびフェデレーティッドユーザーが引き受けるIAMロールのARNが必要です。SSOにはADFS 3.0（IDP）のみを使用できます。

最小限のAmazon IAMポリシーの作成

• •GetObject
• •ListBucket

• •PutObject
• •GetObject
• •DeleteObject
• •ListBucket
• •ListBucketMultipartUploads.詳細モードのマッピングにのみ適用されます。

IAM認証

1. 1AWS_ACCESS_KEY_IDとAWS_SECRET_ACCESS_KEYまたはAWS_ACCESS_KEYとAWS_SECRET_KEY環境変数。
2. 2aws.accessKeyIdとaws.secretKey javaシステムプロパティ。
3. 3デフォルトの場所~/.aws/credentialsにある資格情報プロファイルファイル。
4. 4Amazon EC2メタデータサービスによって配信されるインスタンスプロファイル資格情報。

1. 1最小限のAmazon IAMポリシーを作成します。
2. 2Amazon EC2ロールを作成します。Amazon EC2ロールは、EC2システムを作成する場合に使用されます。Amazon EC2ロールの作成の詳細については、AWSのマニュアルを参照してください。
3. 3最小限のAmazon IAMポリシーをAmazon EC2ロールにリンクします。
4. 4EC2インスタンスを作成します。手順2で作成したAmazon EC2ロールをEC2インスタンスに割り当てます。
5. 5EC2システムにセキュアエージェントをインストールします。

EC2ロールとIAMユーザーを使用したAssumeRole

EC2ロールを使用したAssumeRole

• •Secure AgentをAmazon EC2などのAWSサービスにインストールします。
• •AWS EC2サービスにアタッチされたEC2ロールは、Amazon S3へのアクセス権を持っていてはいけませんが、別のIAMロールを引き受ける権限が必要です。
• •EC2ロールが引き受ける必要のあるIAMロールには、アクセス許可ポリシーと信頼ポリシーがアタッチされている必要があります。

IAMユーザーを使用したAssumeRole

外部ID

AssumeRoleポリシー

IAMユーザー

IAMユーザーは、同じAWSアカウントまたは異なるAWSアカウントで一時的なセキュリティ資格情報を使用するために、sts:AssumeRoleポリシーを持っている必要があります。

次のサンプルポリシーでは、IAMユーザーにAWSアカウントで一時的なセキュリティ資格情報を使用することを許可しています。

{
"Version":"2012-10-17", "Statement":{ "Effect":"Allow", "Action":"sts:AssumeRole", "Resource":"arn:aws:iam::<ACCOUNT-HYPHENS>:role/<ROLE-NAME>" }
}

次のサンプルポリシーでは、中国地域のIAMユーザーにAWSアカウントで一時的なセキュリティ資格情報を使用することを許可しています。

{
"Version":"2012-10-17", "Statement":{ "Effect":"Allow", "Action":"sts:AssumeRole", "Resource":"arn:aws-cn:iam::<ACCOUNT-HYPHENS>:role/<ROLE-NAME>" }
}

IAMロール

IAMロールは、IAMユーザーに一時的なセキュリティ資格情報を使用してAWSリソースにアクセスすることを許可するために、sts:AssumeRoleポリシーと、IAMロールにアタッチされた信頼ポリシーを持っている必要があります。ポリシーは、IAMユーザーがアクセスできるAWSリソースと、IAMユーザーが実行できるアクションを指定します。信頼ポリシーは、AWSリソースにアクセスできるAWSアカウントのIAMユーザーを指定します。

次のポリシーは、サンプルの信頼ポリシーです。

{
"Version":"2012-10-17", "Statement":[{ "Effect":"Allow", "Principal":{ "AWS":"arn:aws:iam::AWS-account-ID:root" },
"Action":"sts:AssumeRole" }
]
}
}

このポリシーでは、Principal属性で、IAMユーザーのARNを入力して、指定されたユーザーが一時的なセキュリティ資格情報を動的に生成できるようにすることもでき、それ以上のアクセスを制限できます。

以下に例を示します。

"Principal" : { "AWS" : "arn:aws:iam:: AWS-account-ID :user/ user-name " }

資格情報プロファイルファイルの認証

• •資格情報ファイルは、Secure Agentをインストールしたマシンと同じマシン上にある必要があります。
• •資格情報プロファイルファイル名は、.credentialsで終わる必要があります。
• •資格情報プロファイルのパスを指定しない場合、Secure Agentはホームディレクトリの次のデフォルトの場所にある資格情報プロファイルファイルを使用します。
~/.aws/credentials
注: Windowsでは、環境変数%UserProfile%を使用してホームディレクトリを参照できます。Unix系のシステムでは、環境変数$HOMEを使用できます。
• •プロファイル名を指定しない場合、認証情報は認証情報ファイルのデフォルトプロファイルから使用されます。

IAM Roles Anywhere認証

1. 1認証局を設定します。
AWS Private Certificate Authorityを使用して認証局を作成し、CA証明書をインストールして認証局をアクティブ化します。
2. 2IAM Roles Anywhereを設定します。
1. aIAM Roles Anywhereで、作成した認証局を使用してトラストアンカーを作成します。
2. b最小限のS3権限を持つIAMロールと、IAM Roles Anywhereがそのロールを引き受けることを許可する信頼ポリシーを作成します。
3. cIAM Roles Anywhereコンソールでプロファイルを作成し、IAMロールをトラストアンカーにリンクします。
3. 3証明書を生成してダウンロードします。
1. aAWS Certificate Managerで、認証局に関連付けられたプライベート証明書を要求して取得します。
2. b証明書本体、証明書チェーン、および証明書プライベートキーをダウンロードしてエクスポートします。
3. cOpenSSLを使用してプライベートキーを復号します。
4. dプライベートキー、復号されたプライベートキー、および証明書をローカルディレクトリに配置します。
4. 4IAM資格情報ヘルパーをインストールし、aws_signing_helperツールを使用して、CreateSession APIを介して一時的な資格情報を要求します。
5. 5証明書ファイルとキーファイルへのARNやパスなど、プロファイルの詳細が含まれるAWS資格情報ファイルを作成します。
資格情報プロファイルファイルで以下のパラメータを指定します。
• - <agent_loc>\aws_signing_helper.exe.AWS資格情報ヘルパーツールへのパス。
• - --certificate <agent_loc>\certificate.pem.X.509証明書ファイルへのパス。この証明書は、IAM Roles Anywhereから一時的な資格情報を要求するIDを認証するために使用されます。
• - --private-key <agent_loc>\decrypted_private_key.pem.証明書に対応する復号されたプライベートキーへのパス。
• - --trust-anchor-arn <arn of trust anchor>IAM Roles Anywhereと認証局の間の信頼を確立するトラストアンカーのAmazonリソースネーム（ARN）。
• - --profile-arn <arn of profile>IAM Roles Anywhereで設定したプロファイルのARN。プロファイルは、引き受けることができるIAMロールや、発行された一時的なセキュリティ資格情報で実行できる操作を指定します。
• - --role-arn <arn of role>資格情報ヘルパーが引き受けるIAMロールのARN。
• - --session-duration <time in seconds>一時セッション資格情報が有効な期間。このパラメータはオプションです。
次の例は、資格情報プロファイルファイルを示しています:

[profile_name]
credential_process = <Secure Agent installation drirectory>\aws_signing_helper.exe credential-process --certificate <agent_loc>\certificate.pem --private-key <agent_loc>\decrypted_private_key.pem --trust-anchor-arn <arn of trust anchor> --profile-arn <arn of profile> --role-arn <arn of role> --session-duration <time in seconds>

資格情報プロファイルファイルのルール

• •資格情報プロファイルファイルは、セキュアエージェントマシン上にある必要があります。
• •資格情報プロファイルファイルには、.credentials拡張子が付いている必要があります。
• •資格情報プロファイルのパスを指定しない場合、セキュアエージェントはホームディレクトリの次のデフォルトの場所にある資格情報プロファイルファイルを使用します。
~/.aws/credentials
注: Windowsでは、環境変数%UserProfile%を使用してホームディレクトリを参照できます。Unix系のシステムでは、環境変数$HOMEを使用できます。