AWSで最初にすべきこと　～運用ユーザの作成～

AWSを使いはじめる時に入力したメールアドレスとパスワードでログインするアカウントをAWSアカウントと呼びます。
このAWSアカウントは、**何でもできる権限を持ったアカウント**になります。
しかし、普段の運用においては何でもできる権限は不要のはずです。
また、AWSの運用を複数人で行う場合、**共有アカウントの利用は好ましくありません**。

AWSでは権限を限定したユーザをIAMで作ることができます。
普段はIAMで作成した**権限が限定されているアカウント**で運用しましょう。


# パスワードポリシーを設定する

* IAMユーザにはパスワードをかける際のポリシーを定義することができます。  
強固なパスワードを設定してもらうためにまずこれを設定しましょう。

1. メイン画面から[IAM]を選択する
![AWSコンソール-IAM](https://qiita-image-store.s3.amazonaws.com/0/40403/1ea7ea23-ae7e-b031-ac89-a3305ff142aa.jpeg)


1. 左メニューから[Password Policy]を選択する
![左メニュー-Password Policy](https://qiita-image-store.s3.amazonaws.com/0/40403/64e3040f-2c39-7439-b540-dce5df40449b.jpeg)


1. パスワードのポリシーを設定する
チェックが多いほど厳しいポリシーになります。
![パスワードポリシー](https://qiita-image-store.s3.amazonaws.com/0/40403/bca8ad0e-0ace-58d4-2f62-c51185801e44.jpeg)



# グループを作成する

* IAMではグループを作成することができます。グループに対して権限を付与することができるため、グループに権限を付与し、ユーザをグループに所属させる方が権限管理が楽になるでしょう。
* ここでは管理者(admin)グループを作成してみます。

1. 左メニューから[Groups]を選択する
![左メニュー-Groups](https://qiita-image-store.s3.amazonaws.com/0/40403/227bcfba-4389-3402-f99e-9d07ba0bc01f.jpeg)


1. [Create New Group]をクリックする
![新規グループの作成](https://qiita-image-store.s3.amazonaws.com/0/40403/02b92d22-0d80-34ce-8c7a-50f3d3f4c87a.jpeg)


1. グループ名『admin』を入れ、[Next Step]をクリックする
![グループ名の入力](https://qiita-image-store.s3.amazonaws.com/0/40403/c5c77545-2602-00f1-a58f-59ab4bef8651.jpeg)


1. 権限『Administrator Access』の[Select]をクリックする
権限はかなり細かく設定することができます。各個別サービスごとの設定や自分で自由に組み合わせることもできます。
![権限の選択](https://qiita-image-store.s3.amazonaws.com/0/40403/e4a25548-d0c3-3c46-070d-93feadad6d2b.jpeg)



1. ポリシー名を入力し、[Next Step]をクリックする
今回は『AdministratorAccess』の権限をそのまま利用するため、ポリシー名には『AdministratorAccess』と入力しています。任意の名前にしてOKです。
ポリシーはjson形式で表現されます。複雑なポリシーの場合、ココで任意に書き換えることも可能と思われますが、今回は何も書き換えずに進みます。
![権限の書式](https://qiita-image-store.s3.amazonaws.com/0/40403/71a0c6a1-1192-83ac-eb11-000305dd1747.jpeg)



1. 最後に確認したら、[Create Group]をクリックする
![確認画面](https://qiita-image-store.s3.amazonaws.com/0/40403/01d54a7e-c63a-7eb8-194c-3b5e6f434738.jpeg)



# ユーザを作成する

* 最後にユーザを作成します。

1. 左メニューから[Users]を選択する
![左メニューUsers](https://qiita-image-store.s3.amazonaws.com/0/40403/d1c4e4cc-f6bc-7bb9-f541-48dfd46ebdca.jpeg)



1. [Create New Users]をクリックする
![Create New Users](https://qiita-image-store.s3.amazonaws.com/0/40403/23e9c4ba-fd4a-d62a-b394-831e0a52e15f.jpeg)



1. ユーザ名を入力し、[Create]をクリックする
[Generate an access key for each user]のチェックは、ユーザのアクセスキーを生成するかの確認です。チェックをつけたままにしましょう。
![ユーザ名の入力](https://qiita-image-store.s3.amazonaws.com/0/40403/0e52e670-c9e0-5838-fec0-ea993086c84b.jpeg)



1. ユーザのアクセスキーをダウンロードするため、[Download Credentials]をクリックする。
ユーザがAPIでアクセスする際に必要になる認証情報です。大事にとっておきましょう。
![認証情報のダウンロード](https://qiita-image-store.s3.amazonaws.com/0/40403/b7adc8e7-f508-a2e1-0b1e-6fa27122ddd2.jpeg)



1. ダウンロードしたら、[Close]をクリックする


1. 先ほど作成したユーザをクリックする
チェックボックスの選択ではなく、ユーザ名をクリックしてユーザのSummaryを表示させます。
![ユーザを選択](https://qiita-image-store.s3.amazonaws.com/0/40403/00776041-b418-ee33-56fd-2d8537d37a82.jpeg)



1. [Add User to Groups]をクリックする
ユーザをグループに所属させます。先ほども書きましたが、権限管理はグループで行うためです。
![ユーザをグループに所属させる](https://qiita-image-store.s3.amazonaws.com/0/40403/76e26508-2797-45f5-7edd-ba57eb4d4eb6.jpeg)


1. 先ほど作成した『admin』グループを選択し、[Add to Groups]をクリックする
![所属するグループを選択する](https://qiita-image-store.s3.amazonaws.com/0/40403/9d624f5c-eed6-1c41-ea43-d8e747b20a20.jpeg)


1. Permissions枠のGroup Policiesに『AdministratorAccess』のポリシーが表示されたのを確認する
![権限の確認](https://qiita-image-store.s3.amazonaws.com/0/40403/00e01d52-be40-549c-4f33-11b2b1f46e5f.jpeg)


1. 画面一番下のSecurity Credentials枠の[Manage Password]をクリックする
パスワードを設定します。
![パスワードの設定](https://qiita-image-store.s3.amazonaws.com/0/40403/4a6daf23-116a-0cef-73fe-a5fda52eea31.jpeg)



1. パスワードを入力し、[Apply]をクリックする
パスワードは最初に設定したパスワードポリシーに沿ったものでなければ通りません。
[Require user to create a new password at next sign-in]のチェックは、次回ログイン時にパスワードを変更するかのチェックになります。
今回は自分で使用するユーザなのでチェックを入れませんが、別の人のアカウントを作成する際は、チェックを入れると良いでしょう。
![パスワードの入力](https://qiita-image-store.s3.amazonaws.com/0/40403/67c70e39-7683-dcbf-ac39-350eaef90168.jpeg)



# IAMユーザでAWSコンソールにログインする

* IAMユーザの作成は完了しましたが、どこからログインすれば良いのでしょうか。

1. 左メニューから[Dashboard]をクリックする
![左メニューDashboard](https://qiita-image-store.s3.amazonaws.com/0/40403/566fb86f-0034-62c7-97d3-b36596359d8d.jpeg)



1. IAM users sign-in linkのリンクに遷移する
このリンクはデフォルトで数字の羅列になっており覚えにくいですが、すぐ右にある[Customize]で任意の文字列に変更することができます(ただし、誰も使ってない文字列に限る)。
![リンクのコピー](https://qiita-image-store.s3.amazonaws.com/0/40403/e7a822c1-d067-83c0-908c-4f3f45323b0b.jpeg)



1. 作成したIAMユーザのユーザ名とパスワードを入力し、[サインイン]をクリックする
![IAMユーザのログイン画面](https://qiita-image-store.s3.amazonaws.com/0/40403/e654a4b1-392b-25e9-5dcc-86e5828b157f.jpeg)



1. ログインできたことを確認
Administrator Access権限は請求関係の閲覧権限がないので、右上メニューから『Billing & Cost Management』にアクセスすると『IAM Access Denied.』と表示されるのが分かるはずです。
![IAMユーザでログイン](https://qiita-image-store.s3.amazonaws.com/0/40403/6942cda9-679a-6a3e-fba1-b1e7cfc744f6.jpeg)



# 最後に

　IAMの権限設定はかなり細かく柔軟に設定することができるので、いろいろ見てみると良いと思います。ユーザとグループと権限をうまく設定して運用することで、ミスオペやパスワードが破られた時も最小のリスクに抑えることができます(今回作った管理者(admin)グループの権限はかなり広いですね。もっと絞った方がよいでしょう)。各役割ごとにIAMユーザを作成して、最小権限で運用できると良いですね。なかなか難しいですが。。。