【AWSの初め方】簡単4ステップ!AWSアカウント作成後のセキュリティを設定 ( アカウント編 )

前回、AWSアカウントの作成方法について紹介いたしました。今回は、アカウント作成後に必要なセキュリティの設定事項（アカウント編）をご紹介いたします。

なお、本記事の設定すれば完璧というものではありません。ブログ全体に言えることですがご自身の判断で設定してください。

【AWSの初め方】簡単2ステップ！AWSアカウントの作成

本記事では、AWSのアカウント作成からログインし、マネージメントコンソールを開くまでのステップを解説します。本記事は、初心者の方向けに作成しています。

data-engineer-tech.com

2023.06.24

はじめに（AWSセキュリティ 初めの一歩）

AWS Builder Online Series 「今日からスタート！ AWSセキュリティ 初めの一歩」を参考に、設定および必要なプラクティスを理解します。

ルートアカウントの設定 | アカウントをセキュアにする

AWSドキュメントには、AWSアカウントのルートユーザに関係して推奨されるベストプラクティスが載っています。こちらを参考にします。

AWS アカウントのルートユーザーのベストプラクティス - AWS Identity and Access Management

AWS ルートユーザーアカウントを保護するために AWS Identity and Access Management (IAM) の使用に関するベストプラクティスに従ってください。

docs.aws.amazon.com

ステップ1 MFA（Multi Factor Authentication）を設定する

AWSアカウントのルートユーザ（IAMユーザ含む）ではMFAを使用することが出来ます。これによりアカウントのセキュリティレベルを上げます。

1.ログイン後の画面で、IAMをクリックします。

2. セキュリティに関するレコメンデーションの「MFAを追加」をクリックします。

3. 「MFAを割り当てる」をクリックします。

4. デバイス名と、MFAデバイスを選択し「次へ」をクリックします。

5.　下記の手順を実行し、最後に「MFAを追加」をクリックします。

1. 認証アプリケーションをスマホなどにインストール
2. 「QRコードを表示」をクリックしスキャンします。
3. 認証アプリケーションに表示されるワンタイムパスワードを続けざまにMFAコード1、MFAコード2二入力します。

6.登録されました。

7. IAMダッシュボードからも、WARNINGが消えました。

8. 一度サインアウトし、2要素認証が求められるか確認します。

9. メールアドレスとパスワードを入力後に、MFAの画面が表示されました。MFAコードを入力し、「送信」をクリックします。

10. 再びサインインできました。

ステップ2 ルートユーザのアクセスキーは作成しない

ルートユーザーは請求情報や、AWSサービスのリソース全てにフルアクセスできるため、よりセキュリティを高めるためアクセスキーは作成しないようにしましょう。ちなみに、デフォルトでは存在しません。

ステップ3 ルートユーザを通常の作業に使わない

IAM でのセキュリティのベストプラクティス - AWS Identity and Access Management

AWS Identity and Access Management (IAM) を使用する際のベストプラクティスに従って、AWS アカウントとリソース保護します。

docs.aws.amazon.com

日常作業には、利用せずにルートユーザにしか実施できない一部のタスク※1を行うときだけ利用するようにしましょう。

※1 ルートユーザにしか出来ないできない操作は下記のとおりです。

ルートユーザー認証情報が必要なタスク - AWS Identity and Access Management

ルートユーザー認証情報を使用してサインインする必要がある AWS のタスクについて説明します。

docs.aws.amazon.com

ステップ4 管理ユーザを作成する

上述した通り、AWSアカウントのルートユーザを日常使いでは使用しません。その代わりかわりに管理ユーザを作成します。

IAM アイデンティティセンターで一般的なタスクを開始する - AWS IAM Identity Center

このセクションでは、IAM Identity Center の一般的なタスクについて新しいユーザーに説明します。

docs.aws.amazon.com

IAM Identity Centerを使用して管理ユーザを作成します。

IAM Identity Centerの有効化

1. ルートユーザでマネジメントへログインし、IAM Identity Centerのトップページで「有効にする」をクリックします。

2. ポップアップが表示されます。（AWS Organizationが作成されていない場合はこちらが表示されます。）「AWS 組織を作成する」をクリックします。

3. 有効化されると、ダッシュボードが表示されます。

デフォルトのディレクトリを使用して ユーザを作成

IAM Identity Centerを有効化した後は、管理者ユーザを作成します。

デフォルトの IAM アイデンティティセンターディレクトリを使用してユーザーアクセスを設定する - AWS IAM Identity Center

IAM アイデンティティセンターを初めて有効にすると、Identity Center ディレクトリがデフォルトの ID ソースとして自動的に構成されるため、ID ソースを選択する必要はありません。組織が AWS Directory Serv...

docs.aws.amazon.com

1. IAM Identity Centerのナビゲーションペインで「ユーザー」を選択します。

2. 「ユーザを追加」をクリックします。

3. ユーザの詳細を指定画面で、下記を入力し「次へ」をクリックします。

• ユーザ名
• パスワード
• Eメールアドレス
• 名
• 表示名

4. ユーザーをグループに追加 – 任意では、グループの作成および追加は行わずに「次へ」をクリックします。

５．ユーザーの確認と追加で内容を確認し、「ユーザを追加」をクリックします。

６．ユーザが追加され、ステータスは「有効」となっています。またメールが送信された旨の通知がヘッダーに表示されます。

７．メールが届きますので「Accept Invitation」をクリックしてください。

8. パスワードを設定し「新しいパスワードを設定」をクリックします。

9. 設定後に、サインインします。現時点で権限がないので何も表示されていません。

管理者アクセス許可セットを作成

管理者権限を付与する権限セットを作成し、アクセス許可レベルを定義します。

デフォルトの IAM アイデンティティセンターディレクトリを使用してユーザーアクセスを設定する - AWS IAM Identity Center

IAM アイデンティティセンターを初めて有効にすると、Identity Center ディレクトリがデフォルトの ID ソースとして自動的に構成されるため、ID ソースを選択する必要はありません。組織が AWS Directory Serv...

docs.aws.amazon.com

1. ルートユーザで、IAM Identity Centerのナビゲーションペインの「許可セット」をクリックします。

２．「許可セット」をクリックします。

３．下記を選択し、「次へ」をクリックします。

• 許可セットのタイプ：事前定義された許可セット
• 事前定義された許可セットのポリシー：AdministratorAccess

４．許可セットの詳細を指定画面で、デフォルトのまま「次へ」をクリックします。※ セッション時間は1時間になっています。

５．確認して作成画面で、問題ないようでしたら「作成」をクリックします。

６．許可セットが作成されました。

AWS アカウント 管理ユーザーのアクセスを設定する

IAM Identity Center AWS アカウント で管理ユーザーのアクセスを設定します。下記のドキュメントを参考にしています。

デフォルトの IAM アイデンティティセンターディレクトリを使用してユーザーアクセスを設定する - AWS IAM Identity Center

IAM アイデンティティセンターを初めて有効にすると、Identity Center ディレクトリがデフォルトの ID ソースとして自動的に構成されるため、ID ソースを選択する必要はありません。組織が AWS Directory Serv...

docs.aws.amazon.com

1.　ルートユーザでIAM Identity Centerのナビゲーションペインで「AWSアカウント」をクリックします。

２．AWS Organization AWS アカウントがツリー状に表示されます。現時点では、管理アカウントのみ表示されています。管理アカウントにチェック後、「ユーザまたはグループを割り当て」をクリックします。

３．①「ユーザー」タブをクリックし、先ほど作成した②「管理者ユーザ」を選択し、「次へ」をクリックします。

４．許可セット「AdministoratorAccess」を選択し、「次へ」をクリックします。

５．登録内容を確認し、「送信」をクリックします。

６．ルートユーザ配下に、管理者ユーザが割り当てられました。

IAM Identity CenterのMFAを設定する

個々のIAMユーザについても、MFAを設定することでセキュリティを強固にします。（IAM Identity CenterのMFAを有効にします。）

1. ルートユーザで、IAM Identity Centerのナビゲーションペインで「設定」をクリックします。

２．①「認証」タブをクリックし、他要素認証で②「設定」をクリックします。

3. 下記を指定して、「変更を保存」をクリックします。

• MFAのプロントをユーザに表示：サインインごと（常時オン）
• 登録されたMFAデバイスをユーザー持っていないない場合：サインイン時にMFAデバイスを登録するよう要求する

４．これでIAMユーザ（管理者ユーザ）についても、MFAを強制的に使用することになりました。

AWS 管理者の認証情報を使用してアクセスポータルにサインインする

作成した管理ユーザで認証します。上記で設定したためMFAの登録が求められるはずです。

1. AWSアクセスポータルのURL（AWS Identity Centerのアイデンティティソース）にアクセスします。

２．管理者ユーザのユーザ名、パスワードを入力するとMFAデバイスの登録画面が表示されました。MFAデバイスとして「認証アプリ」を選択し、「NEXT」をクリックします。

３．ルートユーザのときと同様に、MFAデバイスの登録プロセスになります。

４．登録するとコンソールにリダイレクトされます。ルートユーザアカウントの下にAdministratorAccessがぶら下がっています。この「Management console」をクリックします。

5. 別タブでマネジメントコンソールが開きます。

最小特権のアクセス許可を適用するアクセス許可セットを作成する

IAM Identity Center では、同じユーザーに複数のアクセス許可セットを割り当てることができます。最小権限を適用するベストプラクティスに従うには、管理ユーザーを作成した後に、より制限の厳しい権限セットを作成して同じユーザーに割り当てます。そうすれば、管理者権限ではなく、AWS アカウント必要な権限のみでにアクセスできます。

アクセス権限セットを作成します。 - AWS IAM Identity Center

権限セットは IAM Identity Center に保存され、ユーザーおよびグループが持つこの AWS アカウントに対するアクセスのレベルを定義します。最初に作成するアクセス許可セットは管理許可セットです。 のいずれかを完了した場合は、...

docs.aws.amazon.com

１．先程の許可セットの作成と同様の手順で許可セットを作成します。今回は新たに「PowerUserAccess」を作成しました。

２．次にマルチアカウント許可＞AWSアカウントで、管理者ユーザにPowerUserAccessを割り当てます。

３．管理者ユーザでAWSアクセスポータルにアクセスし、ログインします。

４．PowerUserAccessが増えています。「Management console」をクリックします。

５．サインインできました。

最後に

今回の記事では、「アカウント作成後のセキュリティ設定（アカウント編）」を解説しました。少しでも、皆様のお役に立てれば幸いです。

また、この他にも「Well Architected フレームワーク の セキュリティの柱」の概要を解説していますので、よろしければ読んでいただけますと幸いです。

【AWS Well Architectedフレームワーク】セキュリティの柱の概要

クラウドサービスを利用するにあたり、公開された環境であるためセキュリティは強く意識して取り組む必要があります。このセキュリティを取り組むにあたり、AWSには、ベストプラクティス（Well Architected フレームワークのセキュリティの柱）があります。本記事では、ドキュメントを再整理し、少しでも分りやすく伝えることを狙いとしています。

data-engineer-tech.com

2023.06.25

今回も読んで頂きましてありがとうございました。

参考ドキュメント

• AWS Builder Online Series 「今日からスタート！ AWSセキュリティ 初めの一歩」
• AWS Identity and Access Management のセキュリティのベストプラクティスとユースケース