【AWS】Secrets ManagerでIPアドレスのアクセス制限をする方法

AWS Secrets Managerでは、直接的にIPアドレスを基にアクセス制限を設定する機能はありません。
しかし、適切なAWSリソースの活用やIAMポリシーの設定を行うことで、特定のIPアドレスまたはネットワークからのみアクセスを許可する構成を実現できます。
本記事では、会社のIPアドレスからのみAWS Secrets Managerにアクセスを許可する方法について、実装例を交えながら解説します。

解決方法

AWS Secrets ManagerでIPアドレス制限を実現するためには、以下の2つの方法を組み合わせることが重要です。

1. IAMポリシーによるアクセス制限
2. VPCエンドポイントの活用

1. IAMポリシーでのアクセス制限

IAMポリシーを利用して、特定のVPCやネットワークからのみアクセスを許可する条件を設定できます。
たとえば、aws:SourceVpc条件キーを使用することで、特定のVPCからのアクセスを許可するポリシーを作成します。
以下はその例です。

IAMポリシー例

このポリシーにより、指定したVPC内のリソースからのみSecrets Managerへのアクセスが可能になります。

2. VPCエンドポイントの活用

Secrets Managerは、AWS PrivateLinkを使用してVPCエンドポイントを介したプライベート接続をサポートしています。
VPCエンドポイントを利用することで、インターネットを介さず、特定のVPCやセキュリティグループからのみアクセスを制御できます。

VPCエンドポイントの設定手順

1. VPCエンドポイントの作成:
   • AWS Management Consoleにログインし、VPCサービスを開きます。
   • “エンドポイント”を選択し、新しいエンドポイントを作成します。
   • サービス名でcom.amazonaws.<region>.secretsmanagerを選択します。
   • 対象となるVPCとサブネットを選択します。
   • 必要に応じてセキュリティグループを設定します。
2. VPCエンドポイントポリシーの設定: 作成時にエンドポイントポリシーを設定し、特定の条件に基づくアクセス制限を実現します。

VPCエンドポイントポリシー例

セキュリティグループとネットワークACLによる制限

VPC内でさらに細かいアクセス制限を行う場合は、セキュリティグループやネットワークACLを活用します。

セキュリティグループの例

注意点

aws:SourceIpの利用について

Secrets ManagerへのアクセスがEC2インスタンスのIAMロール経由で行われる場合、aws:SourceIp条件は適用できません。

マネジメントコンソールへのアクセス

ユーザーがSecrets Managerのコンソールに直接アクセスする場合は、IAMユーザーポリシーに対してaws:SourceIp条件を設定することで制御可能です。

IAMユーザーポリシー例

実装のポイント

これらを組み合わせることで、安全かつ柔軟にAWS Secrets Managerへのアクセスを制御できます。

まとめ

AWS Secrets ManagerでIPアドレス制限を実現するには、IAMポリシーやVPCエンドポイント、セキュリティグループなどの複数のAWSリソースを組み合わせて設定することが重要です。
これにより、セキュリティ要件を満たしながら、安全なシークレット管理が可能になります。

ぜひこの記事を参考に、システムのセキュリティを強化してください。