Center杉金晋2023.07.28この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。みなさんこんにちは、杉金です。CenterユーザーとIAMユーザーにIPアドレス制限をかけてみます。Guidanceに記載されている内容をもとに実施しています。詳細は下記ページをご確認ください。本記事でいうIPアドレス制限とは、指定したIPアドレスで接続した場合のみ各種AWSリソースにアクセスできるというものです。Centerのアクセス許可セット毎にIPアドレス制限を行う方法としては、以下のブログを参照ください。使い分けとしては、AWSアカウント単位やOU単位でIPアドレス制限する場合は本記事の内容を、アクセス許可セット単位でIP制限をかける場合は上記のブログを参考にする形です。接続要件が環境や人によって細かく異なる場合はアクセス許可セットでの制限が望ましいです。注意点として、SCPは管理アカウントのユーザーやロールには適用されません。管理アカウントへのアクセスでIPアドレス制限をかけたい場合はアクセス許可セットで設定します。適用するポリシーは以下です。部分(2箇所)を接続を許可するIPアドレスに置き換えます。Guidanceのページに添付ファイルとして提供されています。IDプロバイダー関連の操作を禁止しています。IDプロバイダーを作成してポリシーをすり抜けることを防止します試してみたSCPのポリシー作成とアタッチSCPのポリシー作成から行います。Organizationsのコンソールから「ポリシー」→「ポリシーを作成」を選択します。ポリシー名に適当な名前をつけます。下にスクロールして、ポリシーエディタ画面から先ほど記載したjsonポリシーを貼り付けます。エディタ上にエラーが無いことを確認して「ポリシー作成」を選択します。ポリシーの作成が完了したらにポリシーの適用を行います。作成したポリシーを選び「ターゲット」タブから「アタッチ」を選択して、適用先となるOUやAWSアカウントを選択します。これで作成したポリシーが適用されました。次のパターンで動作確認を行いました。Center経由で対象AWSアカウントにログイン指定IP:各種リソースにアクセスできる指定IP以外:各種リソースにアクセスできないIAMユーザーで対象AWSアカウントに直接ログイン指定IP:各種リソースにアクセスできる指定IP以外:各種リソースにアクセスできない注意点として、指定のIPアドレス以外であってもログイン自体はできることです。指定IPアドレス以外でアクセスした場合は、ログイン後に以下のようなAPIエラー等が起きてリソースにアクセスできません。Hubの場合、ページ自体にアクセスできません。S3バケット一覧は、以下のように権限エラーで拒否されます。以上がアクセス拒否された状態の例です。CenterユーザーとIAMユーザーにIP制限をかけてみました。IP制限をかけたときの影響は多岐に渡るため、AWS公式から今回のようにガイダンスが提供されているのはとても助かりますね。個人的には、この仕組みを実装する際に被災時など指定IPアドレスでアクセスできなくなってしまうケースが起きないかを調べて、代替手段を確認した上で実装するとよいと感じました。