« 2015年11 月 | メイン | 2016年1 月 »
組織のなかでAWSリソースにアクセスするときに、セキュリティ、監査、コンプライアンス、およびロールとアカウントの分離をサポートすることができるようにするため、標準的で繰り返せる認証方式を使用することをおすすめしています。わたしはAWSプロフェッショナルサービス契約のなかで、AWSのお客様へAWS Management Consoleへのフェデレーションによるアクセスをつかった認証メカニズムの構築をお手伝いしてきました。それは便利ですが、多くのお客様ではあわせてAPIをつかってAWSリソースにアクセスできるようになる必要がありました。しかしながら、フェデレーションによるAPIアクセスがなければAWS Identity and Access Management (IAM)ユーザーを作成する必要があり、そうするとフェデレーションを使用する目的が損なわれてしまいます。
このブログ記事では、新規にSAMLサポートが追加されたAWS Tools for PowerShellをつかって、Windows Active DirectoryのユーザーにWindows PoweShellからフェデレーションによるAPIアクセスを提供する方法について紹介します。
この記事はQuint Van Demanのブログ記事、How to Implement a General Solution for Federated API/CLI Access Using SAML 2.0（日本語訳：SAML2.0を用いたAPI/CLIへのフェデレーテッドアクセスに関する汎用的なソリューションの実装）と同様のストラテジーを使用しています。フェデレーションされたAPIアクセスの汎用的なやり方について興味があれば、この記事を読むことをおすすめします。
この記事のなかでは、以下を前提としています：
上記のダイアグラムはActive DirectoryユーザーがAWSリソースへのフェデレーションされたアクセスを取得する方法をしめしたものです：
Windows PowerShellモジュールを使用する前に、上記のダイアグラムをウォークスルーしてAWS Tools for Windows PowerShellのSAMLサポートを使用した時にどのようなプロセスが動作するのかをみていきましょう：
はじめる準備ができていれば、新規にWindows PowerShellセッションをひらいてAWS Tools for Windows PowerShellモジュールをインポートしましょう。
PS > Import-Module "C:\Program Files (x86)\AWS Tools\PowerShell\AWSPowerShell\AWSPowerShell.psd1"
AD FSシステムのエンドポイント設定を構成しましょう。AD FSエンドポイントを指定するときに、endpointパラメータのexample AD FS hostnameを自分の実際のAD FSホスト名で置き換えるようにしてください。
PS > $endpoint = "https://adfs.example.com/adfs/ls/Id
pInitiatedSignOn.aspx?loginToRp=urn:amazon:webservices"
エンドポイント設定のオブジェクトを生成するためには、Set-AWSSamlEndpointコマンドレットを呼び出してAuthenticationTypeパラメータを指定します。サポートされる型はBasic、Digest、Kerberos、Negotiate、および NTLMがあり、指定がなければデフォルトでKerberosになります。
PS > $epName = Set-AWSSamlEndpoint -Endpoint $endpoint -StoreAs ADFS-Demo -AuthenticationType NTLM
さあ、Set-AWSSamlRoleProfileコマンドレットをつかってAD FSアイデンティティプロバイダからテンポラリAWSクレデンシャルを取得する方法をみていきましょう。
ドメインに参加しているアカウントのプロファイルをセットアップするためには、クレデンシャルを提供する必要はありません。
PS > Set-AWSSamlRoleProfile -StoreAs SAMLDemoProfile -EndpointName $epName
もしくは、ドメインに参加していないアカウントのためにインタラクティブにWindows Active Directoryクレデンシャルを入力してユーザーがアクセスできるAWSロールを選択することができます。これは個別のActive Directoryユーザーを組織内で職務とロールを分離するために使用するときに役立ちます（たとえば、管理権限など）。
PS > $credential = Get-Credential -Message "Enter the domain credentials for the endpoint" Set-AWSSamlRoleProfile -EndpointName $epName -NetworkCredential $credential -StoreAs SAMLDemoProfile
どちらのケースでもコマンドレットからどのロールをプロファイルに保存するかについて入力をうながされます。以下の例では、ADFS-Devロールを選択しています。
Select Role Select the role to be assumed when this profile is active [1] 1 - ADFS-Dev [2] 2 - ADFS-Production [?] Help (default is "1"): 1
特定のロールは、RoleARN、PrincipalARN、およびオプションでNetworkCredentialパラメータを指定することで入力することなく設定することができます（ロールは認証した後のアサーションにあらわれます）。
PS > $params = @{
"NetworkCredential"=$credential,
"PrincipalARN"="arn:aws:iam::012345678912:saml-provider/ADFS"
"RoleARN"=" arn:aws:iam::012345678912:role/ADFS-Dev"
}
PS > $epName | Set-AWSSamlRoleProfile @params -StoreAs SAMLDemoProfile1 -Verbose
ドメインに参加しているコンピュータでは、すべてのロールのプロファイルを一度に作成することができます（ロール名がプロファイル名として使用されます）。
PS > Set-AWSSamlRoleProfile -EndpointName $epName -StoreAllRoles ADFS-Dev ADFS-Production
ロールプロファイルの名前はプロファイルに詳細があるロールに自動的にテンポラリAWSクレデンシャルを取得するためにSet-AWSCredentials（またはコマンドレットの –ProfileNameパラメータ）で指定したものとなります。
さあ、SAMLDemoProfileプロファイルから取得したテンポラリAWSクレデンシャルを使用してAWSサービスAPIとやり取りしてみましょう。
この例では、指定したロールにもとづくAWSアカウントですべての利用可能なAmazon S3バケットをリストします。これはWindows PowerShellコマンドラインからS3を管理するときの一般的なタスクです。
PS > Get-S3Bucket –ProfileName SAMLDemoProfile CreationDate BucketName ------------ ---------- 7/25/2013 3:16:56 AM mybucket1 4/15/2015 12:46:50 AM mybucket2 4/15/2015 6:15:53 AM mybucket3 1/12/2015 11:20:16 PM mybucket4
Get-S3Bucketコマンドレットを実行するときに -ProfileNameを指定する方法に注意してください。プロファイルマネージャーがコマンドレットで有効なテンポラリクレデンシャルを生成します。
これらのクレデンシャルは1時間（これはAWS STSによって強制される制限です）で期限切れになります。しかしながら、AWS Tool for Windows PowerShellは現在のクレデンシャルが期限切れになったことを検出した時にあたらしいSAMLアサーションを取得することによって自動的にクレデンシャルを更新します。
ドメインに参加しているユーザーでは、Windowsクレデンシャルを入力する必要がないためこのプロセスは不可視になります。ドメインに参加していないユーザーでは、あたらしいアサーションを取得してユーザーを再認証するために、Windows PowerShellクレデンシャルのプロンプトがポップアップしてユーザーのパスワードを要求します。
さあ、ADFS-Productionプロファイルを使用してシドニーリージョンにあるすべてのAmazon EC2インスタンスをリストしてみましょう。自分のEC2フリートを管理するためにリージョン内のすべてのEC2インスタンスをリストしたいことがあります。
PS > (Get-Ec2Instance –ProfileName ADFS-Production –Region ap-southeast-2).Instances | Select InstanceType, @{Name="Servername";Expression={$_.tags | where key -eq "Name" | Select Value -Expand Value}}
InstanceType Servername
------------ ----------
t2.small DC2
t1.micro NAT1
t1.micro RDGW1
t1.micro RDGW2
t1.micro NAT2
t2.small DC1
t2.micro BUILD
これらの例はWindows PowerShellのSAMLサポートが提供するテンポラリクレデンシャルをつかってAWSリソースを管理する多くのやり方のうち2つだけについて説明しています。AWS Tools for Windows PowerShellによって提供されるすべてのコマンドレットは–ProfileNameによってセットされたテンポラリクレデンシャリを利用することができます。このアプローチはIAMユーザーアカウントを作成して管理することなくAWSリソースを操作することを効率化し、短期間のテンポラリクレデンシャルをつねに使用することでセキュリティを強化します。
自分自身のWindows PowerShellコマンドレットやC#アプリケーションでAWSへのフェデレーションされたAPIアクセスを実装することに興味がある場合は、GitHubレポジトリの aws-saml-adfs-cmdlet-sampleを参照してください。
いつでもフィードバックは歓迎ですので、ご質問やご意見を以下の"コメント"セクションに書き込んでください。またはIAM forumに質問やコメントすることもできます。
- Daniel（翻訳はSA渡邉（@gentaw0）が担当しました。原文はHow to Set Up Federated API Access to AWS by Using Windows PowerShell）
こんにちは、ソリューションアーキテクトの舟崎です。
急遽今月（2015年12月）に追加で以下3つのAWS初心者向けWebinarを開催することになりましたので、ご案内させて頂きます。
【AWS初心者向けWebinar Dec】利用者が実施するAWS上でのセキュリティ対策
本WebinarではAWSが提供するセキュリティに関する機能を紹介し、その典型的な使い方やベストプラクティスについて紹介いたします。AWS上でお客様が行うセキュリティ対策にご興味のある方は、是非ご参加ください。
【AWS初心者向けWebinarDec】 AWSではじめてみよう、IoTシステム構築
以前開催させて頂いたAWS初心者向けWebinarで本トピックが好評でしたので、リピート開催させて頂きます。モノやセンサーをインターネットに直接接続することで新しい価値を産み出すIoT(Internet of Things)が高い注目を集める中、AWS上でのIoTシステム構築事例も増えています。本Webinarでは、 IoTシステムに必要なデバイスやセンサーからのデータ送信、クラウド上でのデータ処理や保管、デバイスのリモート制御などの基本的な機能について、AWSのサービスでどのように実現するかについて紹介します。デバイス開発者、アプリケーション開発者などIoTシステムに携わる方々はぜひご参加ください。
【AWS初心者向けWebinar】これで完璧、AWSの運用監視
年内最後のAWS初心者向けWebinarは、以前非常に多くの方にご参加頂頂いたAWSの運用監視についてです。本Webinarは2015年5月に開催したAWS初心者向けWebinarのリピート開催になりますが、re:Invent 2015でリリースされました新サービスAWS Config Rules等、一部アップデートも紹介させて頂きます。AWS上のシステムを運用する上で必要となるAWSリソースのモニタリング方法、AWSが提供するログ管理方法についてご興味のある方は是非ご参加下さい！
先日ご案内させて頂いたAWS初心者向けWebinar AWSでBig Data活用も、ぜひご参加・ご検討ください。
【AWS初心者向けWebinar】AWSでBig Data活用
Big Dataを活用する動きが世の中に広く見られる様になってきましたが、まだまだ自分事とは思えない方も多いと思います。本WebinarではAWSを利用したBig Data活用のお客様事例を中心にご紹介します。また、実際にサンプルのシステムをお見せしながら最近の流行であるSQLを使ったBig Data分析をご覧頂く予定です。エンジニアでない方や、エンジニアでも今までBig Data活用や分析をしたことの無い方にも分かりやすい様にお話しますので、お気軽にご参加下さい。
多くの方のご参加をお待ちしております！
SAの岩永です。この記事はContainer with AWS Advent Calendar 2015の1日目の記事になります。Seattle出張中のためPSTではまだ12月1日ということで。。。
さて、つい先日Amazon ECSのチュートリアル(Getting started)が新しくなりました。これまでよりシンプルになり、より何が起こっているかを手にとって分かる様になったかなと思います。今日はひとまずスクリーンショットを並べてみましたので雰囲気を感じとって頂ければと思います。非常に簡単なので、まだAmazon ECSを触ったことの無い方は、ぜひご自身の手でも動かしてみて下さい！
Getting startedのリンクでお使いのリージョンのイントロページが表示されますので、Get startedのボタンをクリックします。
以下の様な画面になり、Step1-4を進めていきます。Step 1はTask Definitionの設定ですが、デフォルトで入っているhttpdのコンテナのみのまま進めますのでNext stepをクリックします。
Step 2ではServiceを設定します。
Elastic Load Balancingも設定してみたいので、Container name:host portのセレクトボックスでsimple-app:80を選択します。すると、ELB用の追加の設定項目が出てきます。特に変更はないので、そのままNext stepをクリックします。
Step 3ではクラスタの設定をします。既存と被らないクラスタ名、任意のインスタンスタイプ、インスタンス数、(必要であれば)鍵ペアを指定します。その他は特に変更しないので、Next stepをクリックします。
最後のStep 4は今までの設定内容の確認です。問題なければ、Launch instance & run serviceをクリックすると実際の作成が始まります。
作成自体は、AWS CloudFormationで行われます。以下の様なページに遷移するのでその場で進捗が確認できますし、通常のAWS CloudFormationのページでも確認できます。全て完了したら、View serviceをクリックします。
作成されたAmazon ECSクラスタのServiceの画面に遷移します。作成直後だとまだTaskの起動が完了していないので、Running tasksが0のままです。
しばらく時間が経つと、無事Running tasksがDesired tasksと同じになりました。次に、このServiceにアクセスするためにService Nameのリンク(ここではsample-webapp)をクリックします。
Serviceの詳細ページが表示されます。ここに先ほど設定したELBが表示されているので、Load Balancer Nameのリンクをクリックします。
ELBのページに遷移するので、下部のDNS NameでELBのエンドポイントとなるDNS名をメモして、ブラウザでアクセスしてみます。
以下の様に無事Welcomeページが表示されました。Task Definitionはhttpdコンテナだけだったのに何故こんなページが表示されるのでしょう？先ほどのService詳細ページから紐付いているTask Definitionのリンク(ここではconsole-sample-app-static:1)をクリックします。
Task Definitionの詳細ページに遷移します。ここでsimple-appという名前のContainer Definitionを展開してみると、以下のようにCommandで先ほどのHTMLの内容をindex.htmlに出力していることが分かります。
ちなみに、前述のとおりチュートリアルで設定したリソースはAWS CloudFormationで作成されているので、こちらも最近リリースされたCloudFormation Designerで構成を可視化することができます。今回はこの様な構成になっていました。
以上になります。新しいチュートリアルで、Amazon ECSをとりあえず動かしてみるという障壁が少しでも下がって、Amazon ECSのユーザが1人でも増えてくれると嬉しいです。
Container with AWS Advent Calendar 2015はまだまだ日程に空きがありますので、ぜひみなさんも投稿してみてください！
-- SA岩永
このブログ内の記事を検索
このブログの最新情報はTwitter、Facebookでもお知らせしています。お気軽にフォローください。 @awscloud_jpをフォロー
| 日 | 月 | 火 | 水 | 木 | 金 | 土 |
|---|---|---|---|---|---|---|
| 1 | 2 | 3 | 4 | 5 | 6 | 7 |
| 8 | 9 | 10 | 11 | 12 | 13 | 14 |
| 15 | 16 | 17 | 18 | 19 | 20 | 21 |
| 22 | 23 | 24 | 25 | 26 | 27 | 28 |
| 29 | 30 |