記事一覧へ

Credential Storeの設定方法 (AWS WAF v2、新プラン)

AWS WAF v2新プラン使い方

概要

AWS WAF v2（新プラン）でのCredential Storeの設定方法を記載します。

登録方法は3つあります。

  • IAM Roleを新規作成して登録する（CloudFormationを使用してIAMロールごと新規作成する）
  • 既存のIAM Roleを登録する（AWSマネージメントコンソールにてIAMロールを先に作成し、ARNと信頼ポリシーを登録する）
  • 既存のIAM Userを登録する（AWSマネージメントコンソールにてIAMユーザーを先に作成し、キーを登録する）

新プランの場合、LegacyあるいはAdvancedのRuleポリシーを選択可能ですが、どちらの場合でも必要な権限は同じです。

付与する権限の詳細については、必要な権限 (AWS WAF v2、新プラン) をご参考ください。

注意点

  • 手順が3つありますが、そのうち「IAM Roleを新規作成して登録する（CloudFormationを使用して新規作成する）」方法では以下の注意点があります。
  • 登録方法のうち、IAM Roleを使用する方法（AssumeRole方式）を推奨します。
  • 既存のIAM Userを登録する（AWSマネージメントコンソールにてIAMユーザーを先に作成し、キーを登録する）方法はアクセスキー・シークレットキーを登録する形となるため、非推奨ですが使用可能です。「登録」ボタンは無効にはなっていないため、この方法をご利用される場合は「登録」ボタンを押下して手順通りに進めてください。

手順

IAM Roleを新規作成して登録する（CloudFormationを使用して新規作成する）

  1. WafCharmコンソールにログインする
  2. 左側のメニューからCredentialをクリックする
  3. [IAM Roleを新規作成して登録する] の下にある [登録] ボタンをクリックする
  4. [事前確認] にて操作用のAWSアカウントの確認を行い、[次のステップへ] をクリックする

    CloudFormationのStack作成権限、IAM Roleの作成権限のないAWSアカウントの場合、以降のステップで失敗しますので、事前にご確認ください。

  5. 使用するAWSアカウントのID、これから作成するIAMロールの名前、およびCloudFormationを実行するリージョンを入力する

    IAMロールの名前は任意です。CloudFormationで新規作成するIAMロールの名前になりますので、わかりやすい名前をおすすめします。

  6. [テンプレート生成] をクリックする
  7. [以下に発行されるURLよりAWSにて設定を完了してください] の下に記載されているURLをクリックする

    URLはリンクになっているため、クリックするとAWSマネージメントコンソール上でCloudFormationが開きます。

  8. AWSマネジメントコンソールが開くので、以下の項目にチェックをする

    I acknowledge that AWS CloudFormation might create IAM resources with custom names.

  9. Create stackをクリックする
  10. Stackの作成が完了するのを待つ
  11. Create completeとなったら、IAMロールが作成されていることを確認する
  12. WafCharmコンソールに戻って、検証ボタンをクリックする
  13. 「検証OK」と表示されたら、次のステップに進む
  14. Credential Storeの名前を確認する

    IAMロールの名前が自動で入力されます。このままでよければ次に進みます。変更したい場合は、任意の値に変更してから次に進んでください。

  15. [設定完了] をクリックする

「Credentialの新規登録が完了しました。」というメッセージが表示されたら登録完了です。[Credential一覧へ] ボタンから、登録したクレデンシャル情報の一覧を確認できます。

既存のIAM Roleを登録する（AWSマネージメントコンソールにてIAMロールを先に作成し、登録する）

  1. AWSマネージメントコンソールにログインする
  2. IAMダッシュボードを開く
  3. 左のメニューから [Roles] をクリックする
  4. Rolesの画面を開いたら、右上の [Create role] ボタンをクリックしロールを作成する
  5. [Select trusted entity] にて、AWS Accountを選択する

    [An AWS Account] の箇所では、「This account (アカウントID)」を選択してください。Optionは変更不要です。

    ※ロールの作成が完了後、WafCharmから発行された信頼ポリシーを使用する必要がありますので、後半の手順で信頼するアカウントは正しいものに変更されます。

  6. [Permissions policies] にて、必要な権限を追加する

    AWSWAFFullAccess、AmazonS3ReadOnlyAccess、CloudWatchReadOnlyAccess

  7. 次の確認画面で任意のRole nameを入力し、指定した内容を確認したらCreate roleボタンをクリックする

    この後の手順で信頼ポリシーを更新します。「Step 1: Select trusted entities」以下の内容については、現時点では自分のAWSアカウントIDが記載されている状態で問題ありません。

  8. Rolesの画面に戻ったら、先ほど作成したロールの名前をクリックして詳細画面を表示する
    後ほど、WafCharmコンソール上で提供される信頼ポリシーを設定しますので、画面を開いたままにしてください。
  9. WafCharmコンソールにログインする
  10. 左側のメニューからCredentialをクリックする
  11. [既存のIAM Roleを登録する] の下にある [登録] ボタンをクリックする
  12. [IAM Roleの信頼ポリシーを生成する] をクリックする
  13. [コピー] ボタンをクリックし、信頼ポリシーをコピーする
  14. AWSマネージメントコンソールに戻り、先ほど作成したIAMロールの[Trust relationships] タブをクリックする
  15. [Edit trust policy] ボタンをクリックする
  16. [Edit trust policy] 以下に、先ほどクレデンシャルを登録した際に表示された信頼ポリシーを貼り付ける
  17. [Update policy] ボタンをクリックする
  18. IAMロールのARNをコピーする
  19. WafCharmコンソールに戻り、 [IAM RoleのARNを入力し、「検証」ボタンを押下してください。] 以下の入力欄にARNを貼り付ける
  20. [検証] ボタンをクリックする
  21. [検証] ボタンをクリックし、 [検証OK] と表示されることを確認したら、次のステップへ進む
  22. [登録] 画面にてCredential Store名を入力する

「Credentialの新規登録が完了しました。」というメッセージが表示されたら登録完了です。[Credential一覧へ] ボタンから、登録したクレデンシャル情報の一覧を確認できます。

既存のIAM Userを登録する（AWSマネージメントコンソールにてIAMユーザーを先に作成し、キーを登録する）

  1. AWSマネージメントコンソールにログインする
  2. IAMダッシュボードを開く
  3. 左のメニューから [Users] をクリックする
  4. Usersの画面を開いたら、右上の [Add users] ボタンをクリックしユーザーを作成する
  5. [User name] を入力する
  6. [Create group] をクリックする

    すでにグループが存在する場合には、[User groups] から選択し、手順10に進んでください。

  7. [User group name] を入力する
  8. [Permissions policies] にて、必要な権限を追加する

    AWSWAFFullAccess、AmazonS3ReadOnlyAccess、CloudWatchReadOnlyAccess

  9. [Create user group] をクリックし、作成したユーザーグループを選択する
  10. [Next] をクリックする
  11. [Create user] をクリックする
  12. 作成したユーザーの名前をクリックする
  13. [Security credentials] タブをクリックする
  14. [Access keys] にてアクセスキーを作成する
  15. アクセスキーとシークレットキーをコピーする

    アクセスキーとシークレットキーは、この後の手順で使用できるようにしておいてください。

    必要に応じて [Download .csv file] からCSVファイルをダウンロードしてください。

  16. WafCharmコンソールにログインする
  17. 左側のメニューからCredentialをクリックする
  18. [既存のIAM Userを登録する] の下にある [登録] ボタンをクリックする

    グレーアウトしていますが、押下可能です。

  19. [IAM User 権限設定] 以下の [アクセスキーID] と [シークレットアクセスキー] にそれぞれのキーを貼り付ける
  20. [検証] ボタンをクリックし、 [検証OK] と表示されることを確認する

    WafCharmアカウントにて同じアクセスキー・シークレットキーを重複して登録することはできません。重複している場合、エラーが表示されます。もし同じアクセスキー・シークレットキーを再利用したい場合は、登録済みのCredential情報をご利用ください。

  21. [登録] 画面にてCredential Store名を入力する
  22. [設定完了] をクリックする

「Credentialの新規登録が完了しました。」というメッセージが表示されたら登録完了です。[Credential一覧へ] ボタンから、登録したクレデンシャル情報の一覧を確認できます。