Aws

権限が足りているかをAPIを呼ばずに確かめる IAMユーザーやロールの権限が足りているかは、実際にAPIを呼んでAccessDeniedが返るかどうかで確かめる場合が多い。 ただしリソースの作成や削除を伴うAPIでは、権限確認のためだけに呼ぶわけにはいかない。

バージョニングを有効化する --versioning-configurationにStatus=Enabledを指定する。 $ aws s3api put-bucket-versioning --bucket example-bucket --versioning-configuration Status=Enabled 成功しても出力はない。 有効化の直後は設定の伝播に時間がかかる。 伝播中は、有効化後に作成・更新したオブジェクトへのGETリクエストがHTTP 404 NoSuchKeyになる場合がある。 AWSのドキュメントでは、有効化から15分待ってから書き込みや削除に進むよう推奨している。

バケットポリシーによる公開を確認する aws s3api get-bucket-policy-statusは、バケットポリシーの結果としてバケットがパブリック扱いになっているかを返す。 $ aws s3api get-bucket-policy-status --bucket example-public-bucket { "PolicyStatus": { "IsPublic": true } } ポリシーの中身を読まずに判定できるため、棚卸しの一次判定に向いている。

基本的な使い方 --bucketにバケット名を指定する。 $ aws s3api get-bucket-policy --bucket <bucket-name> 実行例 $ aws s3api get-bucket-policy --bucket example-bucket { "Policy": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Sid\":\"\",\"Effect\":\"Allow\",\"Principal\":{\"Service\":\"cloudfront.amazonaws.com\"},\"Action\":\"s3:GetObject\",\"Resource\":\"arn:aws:s3:::example-bucket/*\",\"Condition\":{\"StringEquals\":{\"aws:SourceArn\":\"arn:aws:cloudfront::123456789012:distribution/E1EXAMPLE123ABC\"}}}]}" } Policyの値はJSONオブジェクトではなく、エスケープされた文字列である。 そのままでは読みづらいため、次のように整形する。

aws s3 presignで署名付きURL(presigned URL)を生成すると、期限付きでダウンロードできるURLをその場で作れる。 URLを受け取った相手にAWSアカウントは不要で、期限が過ぎればURLは自動的に使えなくなる。

特定のCIDRを許可しているセキュリティグループを検索したい 特定のIPアドレス帯（オフィスのグローバルIPなど）を許可しているセキュリティグループが、アカウント内にいくつあるかを調べたい場合がある。セキュリティグループの数が多いと、マネジメントコンソールで1つずつルールを確認するのは手間がかかる。aws ec2 describe-security-group-rulesは、フィルタを指定しなければアカウント内（対象リージョン）の全セキュリティグループルールを返すため、--queryを組み合わせれば特定のCIDRを許可しているルールを横断的に検索できる。

セキュリティグループのルールは authorize-security-group-ingress/authorize-security-group-egress で追加し、revoke-security-group-ingress/revoke-security-group-egress で削除する。現在のルールを確認する方法は 【AWS CLI】セキュリティグループのインバウンド・アウトバウンドルールをCLIで確認する を参照。

aws ec2 describe-security-group-rules とは aws ec2 describe-security-group-rules は、セキュリティグループに設定されたルールを取得するコマンド。インバウンド・アウトバウンドの両方のルールが1件1エントリとして返るため、マネジメントコンソールのルール一覧をそのままCLIから確認できる。

InUseBy で証明書の利用状況を確認する ACM証明書を削除する前に、その証明書がCloudFrontやELBなどのリソースで使われていないかを確認する必要がある。使用中の証明書を削除しようとすると、操作自体がエラーになる。

aws acm describe-certificate とは aws acm describe-certificate は、ACMに登録されている証明書1件の詳細情報を取得するコマンド。【AWS CLI】ACM証明書の有効期限を一覧でCLIから確認する で紹介した list-certificates はドメイン名やステータスなど概要のみを返す。一方 describe-certificate では発行者やシリアル番号、利用中のACM以外のリソース、DNS検証の詳細まで取得できる。