103-AWS SAP AWS 「理論・実践・一問道場」STS:AssumeRole

type

status

date

slug

summary

理論

AWSにおけるSTSを使ったクロスアカウントアクセスについて | 株式会社CURUCURU（キュルキュル）

株式会社CURUCURUのコーポレートサイトです。株式会社CURUCURUは、ゴルフライフ事業、ライフイベント事業などを通じて、ITで女性のライフスタイルを豊かにする会社です。

https://curucuru.co.jp/blog/20221003_sts

実践

初めてのAssumeRole | DevelopersIO

まだまだ使ったことの無いAWSサービスが多い菅野です。今回はサービスではないのですが、AssumeRoleという機能を初めて使ったのでまとめてみました。

https://dev.classmethod.jp/articles/sugano-005-s3/

一問道場

質問 #103

トピック 1

ある出版会社のデザインチームは、eコマースWebアプリケーションで使用されるアイコンやその他の静的アセットを更新します。同社は、静的アセットを同社の本番アカウントでホストされているAmazon S3バケットから配信しています。また、開発アカウントも使用しており、デザインチームのメンバーはそのアカウントにアクセスできます。

デザインチームが開発アカウントで静的アセットをテストした後、デザインチームはそれらのアセットを本番アカウントのS3バケットにロードする必要があります。ソリューションアーキテクトは、Webアプリケーションの他の部分に不要な変更のリスクをさらすことなく、デザインチームに本番アカウントへのアクセスを提供する必要があります。

どの手順の組み合わせがこれらの要件を満たしますか？（3つ選んでください）

A. 本番アカウントで、新しいIAMポリシーを作成して、S3バケットへの読み取りおよび書き込みアクセスを許可します。

B. 開発アカウントで、新しいIAMポリシーを作成して、S3バケットへの読み取りおよび書き込みアクセスを許可します。

C. 本番アカウントでロールを作成し、新しいポリシーをそのロールにアタッチします。開発アカウントを信頼されたエンティティとして定義します。

D. 開発アカウントでロールを作成し、新しいポリシーをそのロールにアタッチします。本番アカウントを信頼されたエンティティとして定義します。

E. 開発アカウントで、デザインチームのすべてのIAMユーザーを含むグループを作成し、そのグループに、STS:AssumeRoleアクションを本番アカウントのロールに対して許可する別のIAMポリシーをアタッチします。

F. 開発アカウントで、デザインチームのすべてのIAMユーザーを含むグループを作成し、そのグループに、開発アカウント内のロールに対してSTS:AssumeRoleアクションを許可する別のIAMポリシーをアタッチします。

解説

このシナリオでは、デザインチームが本番アカウントのS3バケットにアクセスするために適切な手順を選ぶ必要があります。最小限の変更でアクセスを提供する方法を選びます。

正解となる手順:

A. 本番アカウントで、新しいIAMポリシーを作成して、S3バケットへの読み取りおよび書き込みアクセスを許可: 本番アカウントにアクセス権を付与するために、適切なポリシーを作成します。

C. 本番アカウントでロールを作成し、新しいポリシーをそのロールにアタッチします。開発アカウントを信頼されたエンティティとして定義: 本番アカウントでロールを作成し、開発アカウントからそのロールを引き受けることを許可する設定を行います。

E. 開発アカウントで、デザインチームのすべてのIAMユーザーを含むグループを作成し、そのグループに、STS:AssumeRoleアクションを本番アカウントのロールに対して許可する別のIAMポリシーをアタッチ: 開発アカウントのIAMユーザーが本番アカウントのロールを引き受けるための権限を付与します。

解説:

A と C により、本番アカウントにおけるS3バケットへの適切なアクセス権とロール設定が行われます。

E により、開発アカウントのデザインチームが本番アカウントのロールを引き受ける権限を持つことができます。

これらの手順により、デザインチームは本番アカウントのS3バケットにアクセスでき、不要な変更を避けることができます。