アクセスコントロールと自動化に IAM ポリシーのユーザー ID を使用する

AWS アカウント と IAM ロールを検証します。

に CloudFormation テンプレートをデプロイするアクセス許可を持つ IAM ロールがあることを確認します AWS アカウント。

この手順の最後のステップで、CloudFormation コンソール AWS CLI の代わりに を使用してテンプレートをデプロイする場合は、 AWS CLI コマンドを実行するための一時的な認証情報も設定する必要があります。手順については、IAM ドキュメントを参照してください。

CloudFormation テンプレートを作成します。

ユーザー名の入力パラメータを追加します。

CloudFormation テンプレートの Parameters セクションに次のコードを追加します。

Parameters:
  NewIamUserName:
    Type: String
    Description: Unique username for the new IAM user

このパラメータは、ユーザーにユーザー名の入力を求めます。

カスタムリソースを追加して、IAM ユーザーを作成します。

CloudFormation テンプレートの Resources セクションに次のコードを追加します。

Resources:
  rNewIamUser:
    Type: 'AWS::IAM::User'
    Properties:
      UserName: !Ref NewIamUserName

このコードは、NewIamUserName パラメータによって指定された名前で IAM ユーザーを作成する CloudFormation リソースを追加します。

Lambda 関数の実行ロールを追加します。

このステップでは、IAM を取得するアクセス許可を AWS Lambda 関数に付与する IAM ロールを作成しますUserId。Lambda がコードを実行するために必要な以下の最小限のアクセス許可を指定します。

実行ロールを作成する手順については、Lambda ドキュメントを参照してください。次のステップで Lambda 関数を作成するときに、このロールを参照します。

Lambda 関数を追加して、一意の IAM UserId を取得します。

このステップでは、Python ランタイムを使用して Lambda 関数を定義し、一意の IAM UserId を取得します。これを行うには、CloudFormation テンプレートの Resources セクションに次のコードを追加します。<<ROLENAME>> を、先ほど作成した実行ロールの名前に置き換えます。

  GetUserLambdaFunction:
    Type: 'AWS::Lambda::Function'
    Properties:
      Handler: index.handler
      Role: <<ROLENAME>>
      Timeout: 30
      Runtime: python3.11
      Code:
        ZipFile: |
          import cfnresponse, boto3
          def handler(event, context):
            try:
              print(event)
              user = boto3.client('iam').get_user(UserName=event['ResourceProperties']['NewIamUserName'])['User']
              cfnresponse.send(event, context, cfnresponse.SUCCESS, {'NewIamUserId': user['UserId'], 'NewIamUserPath': user['Path'], 'NewIamUserArn': user['Arn']})
            except Exception as e:
              cfnresponse.send(event, context, cfnresponse.FAILED, {'NewIamUser': str(e)})

カスタムリソースを追加します。

CloudFormation テンプレートの Resources セクションに次のコードを追加します。

  rCustomGetUniqueUserId:
    Type: 'Custom::rCustomGetUniqueUserIdWithLambda'
    Properties:
      ServiceToken: !GetAtt GetUserLambdaFunction.Arn
      NewIamUserName: !Ref NewIamUserName

このカスタムリソースは Lambda 関数を呼び出して IAM UserID を取得します。

CloudFormation 出力を定義します。

CloudFormation テンプレートの Outputs セクションに次のコードを追加します。

Outputs:
  NewIamUserId:
    Value: !GetAtt rCustomGetUniqueUserId.NewIamUserId

これにより、新しい IAM ユーザーの IAM UserID が表示されます。

テンプレートを保存します。

変更を CloudFormation テンプレートに保存します。

CloudFormation のテンプレートをデプロイします。

CloudFormation コンソールを使用して get_unique_user_id.yaml テンプレートをデプロイするには、CloudFormation ドキュメントの手順に従います。

または、次の AWS CLI コマンドを実行してテンプレートをデプロイすることもできます。

aws cloudformation create-stack \
--stack-name DemoNewUser \
--template-body file://get_unique_user_id.yaml \
--parameters ParameterKey=NewIamUserName,ParameterValue=demouser \
--capabilities CAPABILITY_NAMED_IAM