VPC Latticeの認証ポリシーについて理解を深める #AWS – Qiita

VPC Latticeのサービスが通信を受け取ると、次のような流れになります。

1. 関連するIAMポリシーと認証ポリシーを収集します
2. ポリシーのセットを評価します

• リクエスタのオペレーションを実行する権限（IAMポリシー）を評価
• サービスネットワークの認証ポリシーによって許可されているかを確認する。明示的な許可または、認証タイプが”なし”なら次へ
• サービスの認証ポリシーによって許可されているかを確認する。明示的な許可または、認証タイプが”なし”なら許可する
• 明示的な拒否は許可に優先して拒否

流れを図で記載すると次のようになります。

リクエスタとなるリソースにVPC Latticeの実行権限が必要になります。
最低限下記のポリシーが必要となります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "vpc-lattice-svcs:Invoke"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

VPC Latticeのサービスまたはサービスネットワークの認証タイプをAWS_IAMとして、認証されたアクセスのみ許可を選択すると、下記のポリシーが付与されます。

{
    "Statement": {
        "Effect": "Allow",
        "Principal": "*",
        "Resource": "*",
        "Condition": {
            "StringNotEqualsIgnoreCase": {
                "aws:PrincipalType": "anonymous"
            }
        },
        "Action": "*"
    }
}

このポリシーについて解説します。ストレートに読むと、こうなります。

• “anonymous”（匿名ユーザ）以外の場合 、許可する

つまり、AWSクレデンシャル(SigV4署名)付きリクエストを許可し、SigV4署名がない通信を拒否する、ということになります。

認証ポリシーによる認証認可を行う場合、Condition要素に詳細を記載します。
VPC Lattice固有で記載可能なことをまとめると、下記の通りとなります。

その他、aws:PrincipalOrgIDやaws:SourceIpといったIAMで使うグローバル条件キーを使うこともできます。
条件キーは複数指定することもできます。

これらの仕様を踏まえた、認証ポリシーのベストプラクティスを検討します。

サービスネットワーク側の認証ポリシーのベストプラクティス

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": [
               "arn:aws:iam::{AWS_AccountID}:role/{IAM_Role_Name}"
            ]
         },
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*"
         ]
      }
   ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "vpc-lattice-svcs:Invoke",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "vpc-lattice-svcs:RequestHeader/x-custom-header": "expected-value"
                }
            }
        }
    ]
}

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringNotEquals": {
               "aws:PrincipalType": "Anonymous"
            },
            "StringEquals": {
               "vpc-lattice-svcs:SourceVpc": "{VPC_ID}"
            }
         }
      }
   ]
}

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::{AWS_ACCOUNT_ID}:root"
         },
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "vpc-lattice-svcs:SourceVpcOwnerAccount": "{AWS_ACCOUNT_ID}"
            }
         }
      }
   ]
}

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "vpc-lattice-svcs:Invoke",
         "Resource": "*",
         "Condition": {
            "StringEquals": {
               "aws:PrincipalOrgID": [ 
                  "{Organizations_ID}"
               ]
            }
         }
      }
   ]
}