【AWSチュートリアル】IAMロールを準備する。（AWS構築用のIAMロールにスイッチしてTerraformが実行できるようにする。）

AWSチュートリアル１回目。

Terraformの実行に必要な各種IAMリソースを作成していきます。

なぜスイッチロールするのか？

スイッチロールを利用することで、権限を持っていないユーザーに対して一時的に権限を付与させることができます。（Linuxの sudo su コマンドに似ているイメージ）

今回は、特定のIAMグループに所属しているIAMユーザーだけがスイッチロールできるような仕組みを作成していきます。「IAMユーザーに直接権限付与すれば？」と思うかもしれませんが、以下のようなメリットを受けたいためスイッチロールする手段を選択しました。

上述を踏まえ、

1. 最低限の権限を持ったIAMユーザーを用意。
2. AWS構築用の権限を持ったIAMロールを作成。
3. Terraformは、2で作成したIAMロールにスイッチして実行する

という環境を作っていきます。

それではやってみましょう！

IAMグループを作成する。

「study-infra-swith-terraform-role」というIAMグループを作成していきます。

１．「グループを作成」をクリックする。

２−１．グループ名を入力する。

ユーザーの追加は別途行う予定なので、ここではスキップ。

２−２．「グループを作成」をクリックする。

３．グループの作成が完了！

IAMグループにユーザーを追加する。

「study-infra-swith-terraform-role」グループにIAMユーザーを追加します。

１．「ユーザーを追加」をクリックする。

２．ユーザーを追加する。

複数のユーザーにチェックを入れるとまとめて追加することができます。

３．ユーザー追加が完了！

IAMロールを作成する。

スイッチ先のIAMロール「study-infra-terraform-role」を作成します。

１．「ロールを作成」をクリックする。

２．信頼ポリシーを作成する。

信頼ポリシーでは、「このIAMロールにスイッチできる対象を許可する」という設定を行います。

今回は、スイッチ先のAWSアカウントIDを「アカウントID」に入力してください。

ちなみに↑の手順で、以下の信頼ポリシーが作成されます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::93XXXXXXX6:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {}
    }
  ]
}

プリンシパル（Principal）にAWSアカウントを指定したい場合は、"AWS": "arn:aws:iam::93XXXXXXX6:root" と指定します。

３．AdministratorAccessポリシーを付与する。

各種リソースの構築を行うので「AdministratorAccess」を付与します。

４．「次のステップ：確認」をクリックする。

５．ロールを作成する。

６．ロールの作成が完了！

IAMグループにポリシーを追加する。

「study-infra-swith-terraform-role」グループが「study-infra-terraform-role」ロールにスイッチできるようにIAMポリシーを作成します。

１．グループに対してインラインポリシーを作成する。

２．ポリシーを入力する。

入力するポリシーは以下の通り。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": [
                "arn:aws:iam::93XXXXXX6:role/study-infra-terraform-role"
            ]
        }
    ]
}

arn:aws:iam::93XXXXXX6:role/study-infra-terraform-role に対して sts:AssumeRole を許可するポリシーになっています。

３．ポリシーを作成する。

４．ポリシーの付与が完了！

スイッチロールをしてみる。

それでは、作成した各種IAMリソースを使用してスイッチロールしてみましょう。

１．「ロールの切り替え」をクリックする。

WEBコンソールの右上にある、ユーザー名をクリックすると「ロールの切り替え」が表示されます。

２．スイッチ先の情報を入力する。

項目	説明
アカウント	スイッチ先のAWSアカウントID。
ロール	スイッチ先のIAMロール名。
表示名	Web画面上に表示する名前なので適当でOK。今回はstduy-infra。

３．IAMロールへのスイッチが完了！

ユーザー名が２で設定したstudy-infraに変わっていることが分かると思います。

これで「AdministratorAccess」権限を持ったIAMロールにスイッチできているので、各種リソースの構築が可能になっています。

お疲れ様でした。

これにて本記事は終了です。