1ヵ月で取得するAWSソリューションアーキテクト (8日目)

#概要
やっと、投稿日とタイトルとのギャップが埋まります。

ソリューションアーキテクトの資格を受けるのにこんなにゆっくり勉強していて、
果たして、合格できるのだろうか？

まぁ、もしこれを最後までお読み頂ける方がいらっしゃるのであれば、
合否も私はお伝えしますので、どちらに転んでも参考にしていただければと幸いです。
(参考にならないかもしれませんが…)

最近、この概要は全然、概要になってないんじゃないかと感じてきています。
日記みたいになっちゃってるなぁ…

7日目で書いたアカウント設定の続きをまとめていきます。

##[1] アカウントの作成とログイン

####3.ポリシーとアカウントの設定

前回まででアカウントとポリシーは出来上がりました。
しかし、この二つが結びつかなきゃ意味がないですよね。

というわけでアカウントとポリシーを結びつける設定を行おうと思います。

(1)IAMダッシュボードの[ユーザー]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/2c05a8f3-4d08-2ba2-fb9f-bf1a6d297bbd.png)

(2)ポリシーを紐づけるアカウントをリスト上からダブルクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/802e3bfb-16c4-5cad-cefa-1199ca69b250.png)

(3)アクセス許可タブの配下に管理ポリシーを適用するか
   インラインポリシーを適用するかを選ぶことができます

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/c785ec41-e95c-8eb4-0700-286c6445d4c7.png)

・管理ポリシー(AWS管理ポリシーまたはカスタマー管理ポリシー)を適用する場合

(4)[ポリシーのアタッチ]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/ef349051-9ffe-f720-05e4-b9deaba3a8a4.png)

(5)一覧から適用するポリシーを選択し、[ポリシーのアタッチ]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/87244428-1b29-2d61-4baf-46d4a7c9ae8b.png)

※事前にポリシーを作成している場合はカスタマー管理ポリシーも選択できます

(6)アカウントに管理ポリシーが設定されました

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/726494e4-c5d3-44f4-5d51-fd50801fda91.png)

ちなみに適用したポリシーを削除する場合は画面に表示されている
[ポリシーのデタッチ]をクリックします。

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/35ca0d09-65c2-31f9-d189-1ce2290818c8.png)

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/27ebcf35-b95b-67f1-2847-95417774cac6.png)

・インラインポリシーを適用する場合

(4)インラインポリシー欄の赤枠箇所をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/9b8e75f7-9209-2be0-f921-b2046ab304ca.png)

(5)[ここをクリックしてください]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/63865106-b084-a666-5c0b-07db0edc0dff.png)

(6)ポリシーの設定方法を[Pollicy Generator]か[カスタムポリシー]のどちらで作るかを選べます

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/990c8a22-a64b-46e3-c3b4-f891c137c918.png)

Pollicy Generatorでポリシーを設定する方法は前述したんでここには書かないです。
そもそも、目的は資格に受かることですし…

ちなみに[カスタムポリシー]で作る場合は本当にJSONを1から書いていくことになります。
こんな画面が出てきます。

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/c45ee52f-225b-e752-58d1-5d64a8971d8a.png)

とまぁ、ここまで書いたようにアカウントとポリシーは直接、紐づけることも出来ますが
それだと操作する人が増える度に設定が大変です。

それに誰にどのような権限を与えているのかもグループ単位で
権限を管理していれば簡単に把握することができます。

そこでポリシーを設定する際にはグループを使用するのが一般的なようです。

####4.グループの作成とポリシーの設定
(1)IAMダッシュボードのメインメニューから[グループ]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/f5604574-4f3f-c695-ac1f-9aa0005a0ad0.png)

(2)[新しいグループの作成]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/0c339b31-3345-b376-173d-9f4afcae44e0.png)

(3)[グループ名]に任意のグループ名を入力し、[次のステップ]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/38354404-4762-f5e8-e7d9-2f8d489365ac.png)

(4)一覧から設定するポリシーを選択して[次のステップ]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/1c5a7456-f551-8f79-6687-a0fe687a196d.png)

※グループを作成する段階で強制的にポリシーも設定するようにできているんですね。

(5)内容に問題がなければ[グループの作成]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/faa31a48-ecf4-2139-ee3a-99119579d6ae.png)

(6)一覧画面に作成したグループが表示されます

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/2dc79ab8-148f-6583-afd7-5ba3550e7a0c.png)

####5.グループへのアカウント追加

グループとポリシーの紐づけは出来ましたがグループにアカウントを追加しなければ、
管理していることになりませんよね…

グループにユーザを追加するには以下の操作を行います。

(1)IAMダッシュボードの[グループ]一覧画面でユーザを追加するグループを選択し、
   [グループのアクション]-[グループにユーザーを追加]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/0f04caf0-e56c-ba9c-c5c4-08aac6935819.png)

(2)追加する対象のアカウントを選択して[ユーザーの追加]をクリックします

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/390b9940-adc2-4bb0-288c-3b19349e833d.png)

(3)一覧画面に戻ってきて、[ユーザー欄]の数が0から1に増えグループ設定が完了

![image](https://qiita-image-store.s3.amazonaws.com/0/138274/ee7aa776-7f29-31b6-a3bc-2dee768f0563.png)

とまぁ、ここまでがアカウント管理の基本のようですね。
※実はロールの設定というのもありますが、それは明日、補足して載せることにします。

こんな初歩的なところにどれだけ時間かけてんだよ！
…みたいな体育会系なツッコミは勘弁してください。

…明日も仕事なんで、ここいらで今日は区切ります。

##◆総括
アカウント管理の部分の勉強をしてきて、分かりにくかったのは各ポリシーの違いでした。
AWS管理ポリシーとカスタマー管理ポリシーの違いがちょっと分かりにくかったです。
(単に私のITリテラシーの問題である可能性もあります)

カスタマー管理ポリシーもAWS管理ポリシーから派生しているから、
仕様変更の影響を受けるのかと思いきやそんなことはなく…

また、PolicyGeneratorで作れるのはインラインポリシーだけかと思いきや、
カスタマー管理ポリシーも作ることができ…前回の記事で色々と誤解してました。

インラインポリシーというのはポリシー単独で存在せず、
アカウントの1つの情報として登録されるのが明確な違いでした。

それとアカウントベースではなく、AWSリソース単位でアクセス権を設定する方法や
アクセス権を委任する設定なども見つかり、IAMは奥が深かいですねぇ。

[参考]IAM ロールとリソースベースのポリシーとの相違点
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_roles_compare-resource-policies.html

[参考]IAM ユーザーにアクセス権限を委任するロールの作成
http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_roles_create_for-user.html

まぁ、今回の目的はまず資格を取るということなので、
あまり深追いして時間を使いすぎないよう、後々きつくならないよう…