AWS Systems Manager セッションマネージャーのログ出力設定変更を制限する

2018年 Oct 12日 (Fri)

top
※これ↑、Systems Manager のアイコンらしいです。

おはこんばんちは、インフラストラクチャー部の沼沢です。

みなさん、AWS Systems Manager 使ってますか？
Systems Manager を使うことで、大量のサーバーの運用保守作業を自動化したり、ソフトウェアインベントリを収集して一元的に確認したりすることができるので大変便利ですよね。
AWS Systems Manager – 運用のインサイトを入手して迅速に対応

そんな Systems Manager に先日、 セッションマネージャー という機能が登場しました。

で、これの良いところは

コンソールからシェルアクセス可能
EC2 インスタンスに対して SSH の穴あけ不要
誰がセッション開始したか、履歴が残る
操作ログを S3 や CloudWatch Logs に出力できる

だと思っています。

正直、IAM ユーザーをしっかりと個人ごとに発行していれば、OS アカウントを個人ごとに作成する必要が無くなって良いなーと思ったので、あとは操作ログの出力を強制できれば監査にも使えるなーと思い、調べてみました。

実現したいこと

Systems Manager 自体は必要な人は誰でも利用できるようにしたい
- マネージドポリシー AmazonSSMFullAccess を付与するイメージ
セッションマネージャーの設定は、特定の人以外は操作できないようにしたい
- 設定の変更 ≒ ログ出力設定の変更

これを実現する IAM ポリシーが無いか、調査・検証してみました。

調査結果

兎にも角にもまずは公式ドキュメントをチェックしました。
そしてしっかりと答えが書いてありました。ビバ公式ドキュメント。
ただし、本稿執筆時点(2018年10月)では日本語ドキュメントにはまだ無いページなので、日本語ドキュメントで探していると出てこないので注意が必要です。

Grant or Deny a User Permissions to Update Session Manager Preferences - AWS Systems Manager

User policy to prevent preferences from being updated にはこう書いてあります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ssm:CreateDocument",
                "ssm:UpdateDocument",
                "ssm:DeleteDocument"
            ],
            "Effect": "Deny",
            "Resource": [
                "arn:aws:ssm:us-east-2:123456789012:document/SSM-SessionManagerRunShell"
            ]
        }
    ]
}

この IAM ポリシーで実現できるようです。
ただし、Resource でリージョン us-east-2 と AWS アカウント ID 123456789012 が指定されているので、ここは面倒なのでワイルドカードにしてしまいましょう。
特定のリージョンだけは許可したい、という要件が無いのであれば、ワイルドカードにしても特に問題は無いと思います。
するとこうなります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ssm:CreateDocument",
                "ssm:UpdateDocument",
                "ssm:DeleteDocument"
            ],
            "Effect": "Deny",
            "Resource": [
                "arn:aws:ssm:*:*:document/SSM-SessionManagerRunShell"
            ]
        }
    ]
}

マネージドポリシー AmazonSSMFullAccess を付与したユーザーに、このポリシーを追加で付与し、セッションマネージャーの設定変更を試してみました。