Session Manager のログ保存機能

Session Manager記事連投しております。第３弾です。 Session Managerコマンドの操作ログを残してくれる便利な機能があるので、その使い方を見ていきます。

操作ログはS3バケットまたはCloudWatch Logsに保存できるのですが、今回はS3上に保存する方法を紹介します。

事前準備

ログ保存を行うS3バケットを準備します。

ログ保存S3バケットの準備

S3バケットを作成します。

f:id:fu3ak1:20200610225636p:plain

f:id:fu3ak1:20200610225722p:plain

暗号化はAWS管理のキーで設定しておきます。 f:id:fu3ak1:20200610225806p:plain

その他の設定はデフォルトでバケット作成します。

f:id:fu3ak1:20200610225924p:plain

できました。 f:id:fu3ak1:20200610230009p:plain

バケットポリシーの設定

せっかくなので、バケットにオブジェクトを格納できるアクセス元を限定します。

とりあえずログが保存できれば良いって方は、バケットポリシーは何もせず、この部分を読み飛ばして進めてください。

Session Managerのログは、EC2のSSM Agentから送信されるので、EC2に設定するIAMロールからのみPutObjectできるように設定します。

f:id:fu3ak1:20200610230915p:plain

ただし、この制限は完璧ではありません。 EC2のIAM Roleから操作許可されるため、SSM Agentだけでなく、EC2内のAWS CLIなどでバケット上の手動更新が可能になるからです。バケットのバージョニングやオブジェクトロックを適用して更なる改ざん防止策は可能かと思います。バケットポリシーでログ書き込みを限定するには現状この方法が良いようです。（何かほかに良い方法あればご指摘ください）

では実際にバケットポリシーを設定していきます。実は自アカウント内のIAM Roleのみアクセスを許可する。という設定はけっこう面倒です（苦笑）

参考：How to Restrict Amazon S3 Bucket Access to a Specific IAM Role | AWS Security Blog

aws iam get-role --role-name SessionManagerRole(ロール名)というコマンドで取得した「RoleId」の文字列をバケットポリシーで設定する必要があります。（CLIの実行が必要です・・）

f:id:fu3ak1:20200612000405p:plain

取得した「RoleId」をStringNotLike（このRoleIdじゃ無ければ）で指定し、Denyとしています。

f:id:fu3ak1:20200612002826p:plain

以下のように記載しました。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:Put*",
            "Resource": [
                "arn:aws:s3:::sessionmanager-log-20200610",
                "arn:aws:s3:::sessionmanager-log-20200610/*"
            ],
            "Condition": {
                "StringNotLike": {
                    "aws:userId": [
                        "AROAQQJYPEOBCXXXXXXXX:*",
                        "[AWSアカウントID]"
                    ]
                }
            }
        }
    ]
}

[AWSアカウントID]はアカウントごとに異なりますのでEC2に設定されるRoleに合わせて変更してください。
前回の記事で作成した「SessionManagerRole」というRoleから許可しています。
Actionは（全アクション）でDenyしても良いのですが、にしてRoleIdなどにミスがあるとrootユーザー以外バケットポリシーすら変更できなくなるため、今回はこうしています。

IAM Role変更

EC2に設定するIAM Roleには、作成したバケットにログを格納する権限が必要になります。「SessionManagerRole」に追加でポリシーを設定します。

まずは追加用のIAMポリシーを作成します。 IAMポリシーの作成方法詳細はここでは割愛しますので、ポリシー内容を参考にしてもらえればと思います。

ポリシー内容はAWS公式ドキュメントを参考に、S3ログ格納に必要な部分を設定します。 f:id:fu3ak1:20200611232102p:plain

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetEncryptionConfiguration"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::sessionmanager-log-20200610/*"
        }
    ]
}