Memo/AmazonWebServices/aws-vault

aws-vault: アクセスキーの暗号化 †

• aws login はlocalにaccess keyを保存しないので、aws-vault自体不要になった？ AWS CLIの 新機能 aws login コマンドを試してみた | DevelopersIO

• デフォルトでは「 $HOME/.aws/credentials」に保存されるkeyは平文なので、盗まれる可能性がある。(マルウェアに感染した場合等)

• https://github.com/99designs/aws-vault
  • 最終更新: 2023-03-27
  • アクセスキーをOSのキーストア、他に保存する。利用可能なbackend
  • マルウェア等の不正アクセス等でlocalに保存してある平文のアクセスキーを奪われる事を防ぐ
  • 利用時はSTS経由で利用する
  • 1回キーストアのパスワードを入力すれば、設定したduration期間はパスワード不要。MFAも同様
  • 以下のようにコマンドが変わるが、credential_processを設定すると変えないようにもできる。

    aws-vault exec jonsmith -- aws s3 ls

  • terraform v1.13.4: MFA設定済みの場合でも動作した。MFAを入力するプロンプトが出る。
  • ansible [core 2.15.0]: MFA設定済みの場合でも動作した。MFAを入力するプロンプトが出る。

記事:

• WSL2 で aws-vault を使いたい
• aws-vaultでcliとterraformをいい感じにしてみる | DevelopersIO
• AWS Vaultで端末内のAWSアクセスキー平文保存をやめてみた | DevelopersIO
• aws-vault についてのあれこれ - Qiita

インストール †

Linux: Ubuntu on WSL2の場合:

• linux環境にバイナリをインストール。brewだとコンパイルが走るため遅い。

  VER=v7.2.0
  
  wget -O ~/bin/aws-vault https://github.com/99designs/aws-vault/releases/download/$VER/aws-vault-linux-amd64
  chmod +x ~/bin/aws-vault
  
  aws-vault --version
  v7.2.0

• Linux: デフォルトではbackendが認識されない。

  # エラー
  aws-vault add user1
  aws-vault: error: Specified keyring backend not available, try --help

• AWS_VAULT_BACKEND
  • file: 独自暗号化してファイル(~/.awsvault/)に保存。dbus-daemonプロセスが増える問題がある。
  • pass: passの場合、gpg( ~/.gnupg/)に保存。 dbus-daemonプロセスが増える問題がある。

• AWS_VAULT_BACKEND=file の場合。パスフレーズを省略したい場合、AWS_VAULT_FILE_PASSPHRASEを設定。平文丸見えなのでセキュリティは下がる。1回入力すれば◯時間有効なのでそこを許容するか。

  # ~/.bashrc に追加
  export AWS_VAULT_BACKEND=file
  #export AWS_VAULT_FILE_PASSPHRASE=your-passphrase
  export AWS_SESSION_TOKEN_TTL=12h
  
  eval "$(aws-vault --completion-script-bash)"

• AWS_VAULT_BACKEND=pass の場合

  # gpg鍵の作成
  gpg --gen-key
  gpg --list-keys
  
  # passをインストール
  sudo apt install pass
  pass init user1
  
  # ~/.bashrc に追加
  export AWS_VAULT_BACKEND=pass
  export AWS_VAULT_PASS_PREFIX=aws-vault
  export AWS_SESSION_TOKEN_TTL=12h
  
  eval "$(aws-vault --completion-script-bash)"

• dbus-daemonプロセスが増える対策

• 既存のprofile編集
  • 「--prompt=osascript」 はmacOS専用らしい。Linuxでは「--prompt=terminal」

    # ~/.aws/credentialsにsecret keyがある場合は削除
    vim ~/.aws/credentials
    --
    - aws_access_key_id=...
    - aws_secret_access_key=...
    --
    
    vim ~/.aws/config
    --
    [default]
    sts_regional_endpoints = regional
    
    [profile login]
    output = json
    region = ap-northeast-1
    mfa_serial = arn:aws:iam::123456789012:mfa/user1
    credential_process=aws-vault exec login1 --json --prompt=terminal --duration 12h
    
    [profile profile1]
    output = json
    region = ap-northeast-1
    role_arn = arn:aws:iam::123456789013:role/role-admin
    source_profile = login
    --

• login1は適当な名前で良い。aws profileと同じでなくてもいいが、合わせるとわかりやすいかも。

  # 登録
  aws-vault add login1
  
  # profile切替
  aws-vault exec login1
  
  # 確認: 一時セッションが設定されている
  env | grep AWS_
  
  # 一覧
  aws-vault list
  
  # セッションの削除
  aws-vault clear
  
  # ~/.password-store/aws-vault/ に".gpg"が保存されている

• 実行方法: 複数ある
  • mfa_serialが設定済みなら、初回MFAを聞いてくる。
  • "--duration 12h" なら12時間セッションが有効だが、AssumeRole先のroleにもセッション時間が設定されているのでそちらが優先される。

    # credential_process未設定の場合
    aws-vault exec login --no-session -- aws sts get-caller-identity
    ...
    Enter MFA code for arn:aws:iam::123456789012:mfa/user1
    
    # credential_process設定済みの場合、使用方法は変わらない
    aws sts get-caller-identity --profile login

トラブルシューティング †

dbus-daemonが増える †

• aws-vault v7.2.0, Ubuntu 20.04.4 LTS on WSL2 on Win11
• aws-vault コマンド を実行するたびに、dbus-daemonが2つ増える。そのうち「Too many open files」で他プロセスがファイルを開けなくなる。
• "AWS_VAULT_BACKEND="pass | file" の場合に増えた。

  aws-vault help
  
  grep -lf dbus-daemon
  2579 dbus-daemon
  2584 dbus-daemon

• 複数のdbus-daemon をkillする

  pkill dbus-daemon

• dbus-daemonが一つだけ起動するようにしたい。~/.bashrc等でaws-vault用環境変数の前に追加

  # This is a fix for the problem of an increasing number of dbus-daemon processes.
  if [ -z "$DBUS_SESSION_BUS_ADDRESS" ]; then
    eval $(dbus-launch --sh-syntax)
    echo "export DBUS_SESSION_BUS_ADDRESS=$DBUS_SESSION_BUS_ADDRESS" > ~/.dbus-session
    echo "export DBUS_SESSION_BUS_PID=$DBUS_SESSION_BUS_PID" >> ~/.dbus-session
  else
    if [ -f ~/.dbus-session ]; then
        source ~/.dbus-session
    fi
  fi

aws-vault: error: exec: running in an existing aws-vault subshell; 'exit' from the subshell or unset AWS_VAULT to force †

• エラー「aws-vault: error: exec: running in an existing aws-vault subshell; 'exit' from the subshell or unset AWS_VAULT to force」
• 解決「unset AWS_VAULT」

Software

• 自作ソフト
• wiki自作プラグイン
• 利用規定
• ランキング
• 雑誌等掲載履歴

Programming

Game

雑記

連絡先

• MenuBar
• RightBar
• :admin
  

人気の10件

最新の10件