ラボ概要
EC2 インスタンス上のアプリケーションから S3 などの AWS サービスを呼び出すとき、アクセスキーをサーバーに置くのはセキュリティ上の大きなリスクです。本ラボでは IAM ロール(インスタンスプロファイル)を EC2 に付与し、アクセスキーをまったく保存せずに、自動でローテーションされる一時クレデンシャルだけで S3 にアクセスする「キーレス運用」を体験します。接続も SSH キーを使わず、Session Manager 経由のキーレス接続で行います。
学習目標
- EC2 用の IAM ロールとインスタンスプロファイルの関係を理解する
- S3 への最小権限ポリシーを作成して IAM ロールに付与する
- Session Manager で接続するために必要な SSM 権限を理解する
- 起動済みの EC2 インスタンスにインスタンスプロファイルをアタッチする
- インスタンスメタデータサービス(IMDSv2)経由で一時クレデンシャルが自動配布される仕組みを確認する
- アクセスキーを一切置かずに S3 バケットを操作できることを検証する
前提
- federated console に
cloud_userロールでサインイン済みであること - すべての操作を東京リージョン(ap-northeast-1)で行うこと(IAM のみグローバル)
ラボの構成
- 1検証用の S3 バケットを作成する
- 2EC2 用の IAM ロールを作成する
- 3最小権限の S3 ポリシーをロールに付与する
- 4EC2 インスタンスを起動する
- 5ロールが無い状態を確認する(キーレスの効果を実感する)
- 6起動済みインスタンスにインスタンスプロファイルをアタッチする
- 7Session Manager で接続し、一時クレデンシャルの自動配布を確認する
- 8キーレスで S3 を操作する
- 9(任意)最小権限の効果を確認する
- 10動作確認
- 11完了チェックリスト
- 12後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- Amazon EC2 ドキュメント — EC2 インスタンスの起動・管理の基礎
- IAM ロールを使用して EC2 にアクセス許可を付与する — インスタンスプロファイルと EC2 用 IAM ロールの仕組み
- AWS Systems Manager Session Manager — SSH キー不要のキーレス接続
- インスタンスメタデータサービス IMDSv2 — メタデータ経由の一時クレデンシャル配布の仕組み
- Amazon S3 ユーザーガイド — バケットとオブジェクトの操作
- IAM の最小権限のポリシー — 最小権限の原則とポリシー設計のベストプラクティス