翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

リソースベースのポリシーとリソースコントロールポリシーによるコンソールアクセスの制御

AWS サインインは、 AWS サインインへのアクセスを制御するためのリソースベースのポリシーとリソースコントロールポリシー (RCPs) をサポートしています。これらのポリシーを使用して、認証前、認証中、認証後の AWS Management Console アクセス全体でユーザー ID とネットワークの場所を検証します。ルートユーザーの場合、これらのポリシーは、認証情報収集を開始する前にネットワークの場所とユーザー ID を検証します。認証情報は、アクセスが予想されるネットワークから発信された場合にのみ入力できます。

AWS サインインリソースベースのポリシー:

リソースコントロールポリシー (RCPs):

どちらのポリシータイプも、認証前にアクセスを検証します。これにより、プリンシパルが予期しないネットワークからサインインページにアクセスできなくなります。

これらのポリシーは、引き続き適用される IAM アイデンティティベースのポリシーを置き換えるものではありません。

AWS サインインリソースベースのポリシーと RCPsは、次の認証方法に適用されます。

これらのコントロールは、アクセスキー (AWS SDKsまたは SigV4 で署名された API コール) を使用したプログラムによるアクセスには適用されません。

AWS サインインがリソースベースのポリシーを評価する方法

AWS サインインは、認証前 (認証前フェーズ) と認証成功後 (認証後フェーズ) の 2 つの時点で、該当するリソースベースのポリシーまたはリソースコントロールポリシー (RCPs) を評価します。各評価は、ポリシーで定義されている条件キーをチェックします。使用できるキーは、フェーズとアクションによって異なります。詳細については、「サポートされている条件キー」を参照してください。

認証後、評価ではプリンシパルのアイデンティティベースのポリシーも考慮されます。関連するサインインアクションを拒否する IAM ポリシーは、ネットワーク条件が満たされた場合でも、コンソールセッションの付与を妨げる可能性があります。

サポートされているアクション

AWS サインインリソースポリシー (リソースベースのポリシーと RCPs) では、次のアクションがサポートされています。

サポートされている条件キー

AWS サインインは、リソースベースのポリシーとリソースコントロールポリシー (RCPs) で次の条件キーをサポートします。これらのキーを使用して、ネットワークの場所とプリンシパル ID に基づいてコンソールへのアクセスを制御します。

詳細な使用ルール、オペレータの互換性、組み合わせの制限、アクション別の可用性マトリックスについては、「」を参照してくださいAWS サインイン条件キーリファレンス。

リソースポリシーを使用したコンソールアクセスコントロールの開始方法

前提条件

AWS サインインポリシーのすべての書き込みオペレーション--region us-east-1に を指定します。 はこのリージョンからグローバルにポリシーを AWS レプリケートします。読み取りオペレーションは任意のリージョンをターゲットにできます。

ステップ 1: リソース許可ステートメントを作成する

アクセスコントロールを定義するアクセス許可ステートメントを作成します。すべての書き込みオペレーションには が必要です --region us-east-1 ( AWS サインインサービスは、このリージョンでのみポリシーの変更を受け入れます）。残りのパラメータ (--source-vpc、--source-ip、--requested-region、--excluded-principal) は、ポリシーの条件を定義します。たとえば、 は、us-west-2 リージョンサインインエンドポイントへのサインインを制限する条件--requested-region us-west-2を追加します。

例 – 企業 VPC へのアクセスを制限する:

aws signin put-resource-permission-statement \
  --source-vpc vpc-0abc123def456789 \
  --requested-region us-west-2 \
  --excluded-principal "arn:aws:iam::123456789012:user/EmergencyAdmin" \
  --client-token unique-request-id-12345 \
  --region us-east-1

例 – 特定の IP 範囲へのアクセスを制限します。

aws signin put-resource-permission-statement \
  --source-ip "IP_ADDRESS" \
  --excluded-principal "arn:aws:iam::123456789012:role/BreakGlassRole" \
  --region us-east-1

ステップ 2: コンソール認可設定を有効にする

次のステップでは、アカウントまたは組織のコンソールサインインプロセスのポリシーの適用を有効にします。リソース許可ステートメントはいつでも作成できますが、コンソール認可が有効になるまで評価されません。

スタンドアロンアカウントの場合:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

AWS Organizations の場合:

aws signin put-console-authorization-configuration \
  --target-id <your-aws-organization-id> \
  --region us-east-1

設定の検証:

aws signin get-console-authorization-configuration \
  --target-id <your-target-id> \
  --region <your-region>

コンソール認可設定を削除します。

aws signin delete-console-authorization-configuration \
  --target-id <your-target-id> \
  --region us-east-1

ステップ 3: ポリシーを検証する

すべてのアクセス許可ステートメントを一覧表示します。

aws signin list-resource-permission-statements \
  --max-results 50 \
  --region <your-region>

完全な統合ポリシーを取得します。

aws signin get-resource-policy \
  --region <your-region>

get-resource-policy コマンドは、すべてのアクセス許可ステートメントで構成される完全なリソースベースのポリシーを返します。コンソールアクセスをテストする前に、このポリシーを確認して、意図したアクセスコントロールが反映されていることを確認します。

リージョン別の可用性

コンソール認可 APIsは、すべての AWS 商用リージョンで使用できます。これらの APIs は、運用している任意のリージョンから呼び出すことができます。

ポリシー構造について

AWS サインインポリシーには、コンソールのサインインフローのさまざまなフェーズを保護する 2 つのステートメントが含まれています。

コンソールのサインインでは OAuth 2.0 が使用されるため、どちらのステートメントも必要です。OAuth 2.0 は 3 つのアクションすべてを順番に流れます。ステートメントが 1 つしかないポリシーでは、他のフェーズは保護されません。 signin:PrincipalArnはルートユーザー、IAM ユーザー、ロールのプリンシパルタイプをサポートします。 はすべてのプリンシパルタイプ (ルートユーザー、IAM ユーザー、フェデレーティッドユーザー、ロール) aws:PrincipalArnをサポートします。

ポリシーの例

例 1: ネットワーク境界と除外されたプリンシパルを持つ RCP

次のリソースコントロールポリシー (RCP) は、組織内のすべてのアカウントで、企業ネットワークの外部からの AWS Management Console サインインを拒否します。指定された除外されたプリンシパルは緊急アクセスの対象外です。VPC IDs はリージョン内でのみ一意であるため、ポリシーには、予想されるリージョンへの VPC ベースのアクセスをピン留めする 3 番目のステートメントが含まれます。

EnforceNetworkPerimeterPreAuth ステートメントは、 を使用してsignin:PrincipalArn、事前認証フェーズ中に除外されたプリンシパルを除外します。EnforceNetworkPerimeterPostAuth ステートメントは を使用してaws:PrincipalArn、認証後に除外されたプリンシパルを除外します。EnforceSourceVPCRegion ステートメントは、リクエストリージョンが VPC リージョンと一致することを確認し、指定された VPC の予想されるリージョンへのアクセスを制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceNetworkPerimeterPreAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceNetworkPerimeterPostAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceSourceVPCRegion",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "signin:Authenticate",
        "signin:CreateOAuth2Token",
        "signin:AuthorizeOAuth2Access"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "<my-vpc>"
        },
        "StringNotEqualsIfExists": {
          "aws:RequestedRegion": "<my-vpc-region>"
        }
      }
    }
  ]
}

このポリシー:

例 2: 除外されたプリンシパルを持つ IP ベースのアクセスのリソースベースのポリシー

次のリソースベースのポリシーは、指定された IP 範囲外からリクエストを行うすべてのプリンシパルへのコンソールアクセスを拒否します。除外されたプリンシパルは除外されます。このポリシーには、サービス固有のsignin:PrincipalArnキーを使用する認証前ステートメントと、グローバルaws:PrincipalArnキーを使用する認証後ステートメントの 2 つのステートメントが含まれています。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    }
  ]
}

このポリシー:

ベストプラクティス

緊急復旧アクセスのために除外されたプリンシパルを設定する

AWS では、本番環境でコンソール認可ポリシーを適用する前に、少なくとも 1 人の除外ユーザーを設定することをお勧めします。認証前段階では、signin:PrincipalArn条件キーはルートユーザー、IAM ユーザー、ロールプリンシパルを除外します。認証後段階では、aws:PrincipalArn条件キーはすべてのプリンシパルタイプ (ルートユーザー、IAM ユーザー、フェデレーティッドユーザー、ロール) を除外します。

除外されたプリンシパルはオプションですが、除外すると、ネットワーク条件が予期せず変化したり、ポリシーの設定が間違っていたりした場合に、アカウントロックアウトのリスクが高まります。

推奨される除外プリンシパル設定ステップ:

復旧アクセスパスを維持する

上記の除外されたプリンシパルに加えて、コンソール認可ポリシーが予期せずサインインをブロックした場合に、代替のアクセス方法が利用可能であることを確認します。

本番デプロイ前のテスト

AWS では、ポリシーがアカウントに与える影響を徹底的にテストすることなく、制限付き RCPs を組織のルートにアタッチしないことをお勧めします。代わりに、一度に 1 つずつ、または少なくとも少数でアカウントを移動できる OU を作成して、キーアカウントからユーザーを誤ってロックしないようにします。

テストワークフロー:

defense-in-depthを使用した設計

AWS サインインリソースベースのポリシーとリソースコントロールポリシーを、より広範なセキュリティ戦略内の 1 つのレイヤーとして使用します。 AWS サインインポリシーは、ネットワークの場所とプリンシパルアイデンティティに基づいてコンソールへのアクセスを制限します。これらを他のポリシータイプと組み合わせて、包括的なアクセスコントロールを作成します。

継続的なモニタリングと監査

AWS CloudTrail は、すべての AWS サインインポリシーの評価と設定変更を自動的に記録します。これらのイベントを CloudTrail イベント履歴で最大 90 日間表示します。保持期間を長くするには、証跡を作成して Amazon S3 にイベントを配信します (「証跡の作成」を参照）。リアルタイムアラートの場合は、 AWS サインインイベントに一致する Amazon EventBridge ルールを作成するか、メトリクスフィルターベースのアラームの CloudWatch Logs ロググループに配信するように証跡を設定するか、既存の SIEM ソリューションにイベントを転送します。

ユースケース

コンソールのアクセスコントロールのトラブルシューティング

サインインリソースベースのポリシーのネットワーク条件によりサインインできない

AWS サインインポリシーによってアクセスが拒否されると、次のいずれかのエラーメッセージが表示されることがあります。

これらのエラーのいずれかが表示され、アクセスを許可する必要があると思われる場合は、 AWS 管理者にお問い合わせください。CloudTrail ログで、errorMessage「リソースベースのポリシーにより承認が拒否されました」または「リソースコントロールポリシーにより承認が拒否されました」のConsoleLoginイベントを確認し、どのポリシーステートメントがアクセスを拒否したかを特定できます。

考えられる原因:

解決策:

IAM Identity Center ポータルユーザー: IAM Identity Center ポータルを介したコンソールアクセスは現在、ネットワーク条件キーに基づいてアクセスを制限する AWS サインインポリシーと互換性がありません。IAM Identity Center ユーザーのユーザーのアクセスを復元するには、ポリシー内のネットワークベースの条件キーを削除または調整するか、代替認証方法を使用してサインインするようにユーザーに指示します。

管理者がこの問題の診断を行う場合:

コンソール認可を有効にした後、アカウントからロックアウトされている

コンソール認可を設定し、アカウントにアクセスできなくなった場合、ポリシーを適用する前に除外されたプリンシパルを設定していない可能性があります。

アカウントタイプと使用可能な認証情報に応じて、アクセスを回復するためのパスが複数あります。

オプション 1: プログラムによるアクセスを使用する (AWS CLI または SDK)

コンソール認可ポリシーは、インタラクティブコンソールのサインインにのみ適用されます。SigV4 で署名された API リクエストには適用されません。プログラムによるアクセス (既存のアクセスキー、クロスアカウントロールなど) がある場合は、それを使用して を呼び出しsignin:DeleteConsoleAuthorizationConfiguration、制限ポリシーを削除します。使用する認証情報には、 を呼び出すアクセス許可が必要ですsignin:DeleteConsoleAuthorizationConfiguration。AWSSignInResourcePolicyManagement 管理ポリシーには、この permission. AWS recommends temporary credentials over long-term IAM user access keys が含まれています。メンバーアカウントの場合、管理アカウント管理者はメンバーアカウントOrganizationAccountAccessRoleで引き受けて一時的な認証情報を取得できます。このロールは、組織に招待されたアカウントでは自動的に作成されません。

aws signin delete-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

または、特定のアクセス許可ステートメントを削除します。

# First, list statements to get the statement ID
aws signin list-resource-permission-statements \
  --region us-east-1

# Then delete the problematic statement
aws signin delete-resource-permission-statement \
  --statement-id <statement-id> \
  --region us-east-1

オプション 2: AWS サポートに問い合わせる

プログラムによるアクセスがなく、アカウントアクセスOrganizationAccountAccessRoleに を使用できない場合は、 AWS サポートに連絡してロックアウト復旧プロセスを開始してください。

復旧プロセスは次のように機能します。

復旧ポータルリンクは、 AWS サポートが共有してから 72 時間後に期限切れになります。その期間内に復旧を完了しない場合は、 AWS サポートに連絡してプロセスを再起動してください。

アクセスを回復した後:

行った変更がすぐに表示されないことがある

ポリシーの変更はグローバルにレプリケートされますが、レプリケーションには数分かかる場合があります。

解決策:

aws signin get-resource-policy --region <your-region>

一般的なポリシーレプリケーションの問題: