AWSアカウントの作成と必ずやるべきセキュリティ対策

Web業界では何が起こるかわかりません。
一見上手くいっているサービスでも、セキュリティが不十分だと大きな損害を被る恐れがあるからです。
AWSのアカウントが乗っ取られ、暗号通過のマイニングに利用された事件も実際にあります。

これからAWSのアカウントを作成しますが、皆さんには少しでも安全にAWSを利用してほしいので、作成したAWSアカウントに対してセキュリティー対策も実施しましょう。

AWS初心者の方はまずAWS入門者向け 初心者が最初に理解すべきEC2とVPCの基本的な用語解説もチェックしてください。

アカウントの作成

AWS公式の下記ページにアカウント作成フローが掲載されているので、そちらを参考に進めると良いでしょう。
https://aws.amazon.com/jp/register-flow/

＊アメリカAmazonのアカウントを所持している方は、そのアカウントでAWSを利用することができます。

アカウントのセキュリティ対策

AWSアカウントを無事作成できたでしょうか。

アカウント作成後、デフォルトでルートアカウントと呼ばれるユーザーが作成されています。

ルートアカウントはマネジメントコンソールやAPI経由での操作が全て行える、非常に強い権限をもつアカウントです。

万が一アカウントの情報が漏れてしまうと非常に危険なので保護しましょう。

MFA（多要素認証）の設定をしてルートアカウントを保護する

MFAとは、アカウントのIDとパスワードに加え、特定のデバイスから発行されるワンタイムパスワードの入力を強制する認証方式です。MFAを利用することで、万が一アカウント情報が漏れてもログインされないよう保護できます。

ここではスマートフォン（またはタブレット）によるMFAを利用していきますので、あらかじめGoogle Authenticatorをスマホにインストールしてください。

Google Authenticator for Android
Google Authenticator for iOS

Google Authenticatorをインストールし終えたらMFAを有効化しましょう。

1.　AWSのログイン画面からIAMを検索し、IAMのダッシュボードページへ移動します。

2.　セキュリティステータスの項の「Active MFA on Your root account」をクリックします。

3.　MFAにはハードウェアと仮想タイプの2種類ありますが、ここでは仮想タイプを選択してください。

4.　画面の指示に従い進んでください。

5.　連続したワンタイムパスワードを2つ入力します。ワンタイムパスワードは30秒おきに切り替わるのですが、一つ目のワンタイムパスワードを1つ目のフォームに。切り替わった後のワンタイムパスワードを2つ目のフォームへ入力します。

6.　設定完了後に一度ログアウトし、多要素認証でログインできるか試してみましょう。

必要な権限のみに制限されたIAMユーザーを作成する

前述した通り、ルートアカウントは非常に強力な権限を持っているので、通常は最低限必要な権限のみに制限したユーザーでログインするのが理想です。このように権限を絞ったユーザーのことを、AWSではIAMユーザーと呼ます。ここではAWSのVPCとEC2およびS3の操作権限をもつIAMユーザーを作成しましょう。

1.　IAMのダッシュボード左側のメニューから「Users」を選択し、「Add user」をクリックします。

2.　ユーザーの名前とアカウントタイプを設定します。わかりやすいユーザー名を入力しましょう。
アカウントタイプは2種類あり、API経由で操作するタイプと、マネージメントコンソールの操作に対して権限を設定するタイプがあります。今回はマネジメントコンソール操作用のIAMユーザーを作ります。

3.　ユーザーに与える権限を設定します。VPCとEC2、S3のフルアクセス権限をもつグループを新たに作成し、IAMユーザーに割り当てましょう。

4.　作成したグループとユーザー名を確認し、問題なければ次へ進みます。

5.　成功したらパスワードをコピーして閉じます。

6.　作成したIAMユーザーでログインできるか試してみましょう。ユーザー名をクリックしてください。

7.　セキュリティークレデンシャルタブを開き、コンソールログインリンクをコピーし、ブラウザを開いてアクセスします。

8.　IAMユーザー名とパスワードを入力し、ログインしてください。無事ログインできたでしょうか。

9.　ログインが完了したらIAMユーザーのMFAを有効にし、セキュリティを強固なものにしましょう。

まとめ

AWSのアカウント作成とセキュリティ対策についてまとめました。

ルートアカウントはMFAで保護し、通常はIAMユーザーでログインするようにしましょう。