メインコンテンツへスキップ

IAMユーザーの新規作成

このガイドでは、Chorus Portalから行えるIAMユーザーの新規作成に加えて、以下についてもご案内しています。

・該当IAMユーザーに対するMFA（多要素認証）の設定

・AWSマネジメントコンソール上でのIAMポリシーの設定

 

※2025年9月24日より、セキュリティ強化の観点から、Chorus PortalからのIAMユーザー作成方法を以下の通り変更いたしました。

内容 変更前 変更後

IAM ユーザー

作成後の対応
  1. 対象の AWS アカウントへサインイン
  2. 初回のサインインでパスワード変更の実施
  1. 対象の AWS アカウントへサインイン
  2. 初回のサインインでパスワード変更の実施
  3. AWS マネジメントコンソールで、IAM ユーザーの MFA 設定を実施
  4. MFA の設定が完了後、AWS マネジメントコンソールで、IAM ユーザーにポリシーを割り当て

IAM ユーザー

の権限

 AdministratorAccess（AWS マネージドポリシー） IAMUserChangePassword（AWS マネージドポリシー）
MFA 設定必須ポリシー（インラインポリシー）

 

マネージドポリシーまたは「AWS 管理ポリシー」とは、
AWSが用意するポリシーで、どのIAMユーザー、グループ、またはロールにもアタッチ出来るポリシーです。

カスタムポリシーまたは「カスタマー管理ポリシー」とは、
必要に応じて自分で作成するポリシーで、どのIAMユーザー、グループ、またはロールにもアタッチ出来るポリシーです。

インラインポリシーとは
特定のIAMユーザー、グループ、またはロールに直接的にアタッチされたポリシーです。

 

[参考]管理ポリシーとインラインポリシー

https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/access_policies_managed-vs-inline.html

 

本ガイドでご案内する主なステップは以下の通りです。

  1. Chorus Portal から IAM ユーザーの作成（CSV ファイル確認）
  2. AWSマネジメントコンソールに初回サインイン（要パスワード変更）
  3. AWSマネジメントコンソールで IAMユーザーに MFA を設定
  4. サインアウトしてMFA を用いた再サインインの実施
  5. 必要な権限（IAMポリシー）の付与
  6. [参考]Chromeブラウザの 拡張機能 Authenticator の追加

【ご注意】
Chromeブラウザの 拡張機能「Authenticator」の利用は必須ではなく、一例としてのご案内となります。
「Authenticator」のご利用はお客様に責任に基づいてご利用ください。ご利用には、本拡張機能の注意事項をご確認ください。

 

１．Chorus Portal から IAM ユーザーの作成（CSV ファイル確認）

左メニュー「AWSアカウント管理」を選択し、表示された対象のAWSアカウントの行の右端の「詳細」を選択します。

iam_001.PNG

 

「IAMユーザー新規作成」を選択します。

IAM-001.png

 

任意のIAMユーザー名を指定したい場合には、テキストエリアに文字列を指定できます（「test-user」はあくまで参考となります。指定がない場合には、文字列は自動で生成されます）。

その後「確定」を選択します。

iam_003.PNG

作成したIAMユーザー名の変更については、以下のガイドをご参照ください。

IAMユーザー名の文字列は、作成した後で変更できますか？
https://nhn-techorus.zendesk.com/hc/ja/articles/52159844232089

 

 

CSVファイルをダウンロードして、AWSマネジメントコンソールのサインイン情報を確認します。

iam_004.PNG

本作業によって、既にAWSサービスのAWS Identity and Access Management（IAM）のユーザは作成が完了しています。

作成したIAMユーザー名や設定したパスワードは、あとでAWSマネジメントコンソールで設定変更が可能です。

 

２．AWSマネジメントコンソールに初回サインイン（要パスワード変更）

CSVファイルの内容を用いてAWSマネジメントコンソールにサインインします。

20251105_007.png

 

 

CSVファイルに記載のパスワードは仮の文字列となるため、サインイン時に、パスワードリセットが必要です。

pass_reset_001.png

パスワードと新しいパスワードを入力し、パスワードの変更が完了します。

この時点では、AWSマネジメントコンソールでの操作は、MFA 設定以外の操作はできません。
 

 

３．AWSマネジメントコンソールでIAMユーザーにMFAを設定

作成したIAMユーザーで、AWSマネジメントコンソールのサインインが完了します。以下、画面下方のように赤いエラーメッセージが表示されますが、作成されたばかりのため、表示されているポリシーが付与されていないために表示されるものであり、MFA設定の進行に問題はありません。

20251105_001.png

なお上記の通り、画面には、以下などのエラーが表示されます。

これは、記載のエラー表示にあるようなポリシーがアタッチされていないことから表示されるエラーであり、正常な動作となりますので、問題ありません。

エラーの例

✕　servicecatalog:ListApplications へのアクセスが拒否されました

 

 

次に、コンソール画面右上のユーザー名を選択し、「セキュリティ認証情報」を選択します。

IAM-002.png

 

 

 

セキュリティ認証情報画面が表示されます。同じく、画面下方のように赤いエラーメッセージが表示されますが、以下の①か②のいずれかで、MFAデバイスの割り当てに進みます（どちらでも問題ありません）。

①の「MFA を割り当てる」を選択する

20251105_002.png

 

または、②画面下部スクロールをして表示される「MFA デバイスの割り当て」を選択する。

20251105_003.png

なお上記の通り、画面には、引き続き以下などのエラーが表示されます。

これは、MFA設定が完了しただけでは記載のエラー表示にあるようなポリシーがアタッチされていないことから表示されるエラーで、正常な動作となりますので、問題ありません。

エラーの例

✕　iam:GetLoginProfile へのアクセスが拒否されました

✕　iam:ListAccessKeys へのアクセスが拒否されました
iam:ListAccessKeys に対する許可がありません。 アクセスをリクエストするには、次のテキストをコピーして AWS 管理者に送信してください。

✕　iam:ListSigningCertificates へのアクセスが拒否されました
iam:ListSigningCertificates に対する許可がありません。 アクセスをリクエストするには、次のテキストをコピーして AWS 管理者に送信してください。 

 

MFAデバイス名と、デバイスオプション（認証のタイプ）の選択


下のような画面が表示されます。

まず、「MFA デバイス名」を①の欄に入力します。ここには、他のIAMユーザーのデバイス名とは異なるユニークな文字列※ を指定してください。

次に、デバイスオプションは、一例として②「認証アプリケーション」を選択します。ここでは、認証アプリケーションとして、Chromeブラウザの 拡張機能「Authenticator」の使用例を紹介します。 次へを選択します。
 

Chromeブラウザを用いた「Authenticator」の使用方法は、下方「６．[参考]Chromeブラウザの 拡張機能 Authenticator の追加」を参照ください。

【ご注意】
Chromeブラウザの 拡張機能「Authenticator」の利用は必須ではなく、一例としてのご案内となります。
「Authenticator」のご利用はお客様に責任に基づいてご利用ください。ご利用には、本拡張機能の注意事項をご確認ください。

20251105_003.png

 

※ デバイス名に、同一AWSアカウント内のIAMユーザーで既に使われている文字列を使用すると、このようにエラー画面が表示されます。
----------------
✕　エンティティは既に存在しています
このエンティティは既に存在しています。
　・ MFA device already exists.
----------------

この場合には、IAMユーザー名の文字列を付けた文字列にするなど、ユニークな文字列を指定してください。

20251105_004.png

 

 

MFAを設定する（認証アプリケーション）

デバイスの設定にて「QR コードを表示」を選択し、QR コードが表示されたことを確認してください。
 

IAM-006.png

　　　　　　　　　　　　　↓↓↓↓↓↓↓

　　　　　　　　　　　　　↓↓↓↓↓↓↓

IAM-007.png

 

 

QR コードをスキャンする

 


（６．[参考]Chromeブラウザの 拡張機能 Authenticator の追加 で、AuthenticatorがChromeブラウザにインストールされていることを前提とします。）Chromeブラウザにインストールした Authenticator を起動します。スキャンアイコンを選択します。

IAM-008.png

　

次に、QR コードの周りを囲むようにマウスポイントをドラッグ&ドロップをして、スキャンします。

 

IAM-009.png

 

 

スキャンが成功した場合、画面上部にポップアップで「{デバイス名}追加されました。」と表示されます。

Chrome_MFA_Success.png

 

MFA コードを入力する


Authenticator を再度起動すると、先ほどスキャンしたデバイスが表示されます。
記載されている「6桁の数字」を、「MFA コード1」の欄に入力します。

6桁の数字は30秒ごとに入れ替わるため、次の新しい6桁の数字を、「MFA コード2」に入力します。
 

IAM-010.png

 

※Authenticator から数字をコピーすることが初めての場合、下記ポップアップが表示されますので、「許可する」を選択します。
IAM-011.png

 

MFAデバイスの確認
MFA コード1,２共に入力が完了したら、画面右下の「MFA を追加」を選択します。

IAM-012.png
 

※ 入力されたMFAコードに誤りがある時、このようにエラー画面が表示されます。
----------------
✕　許可が必要です
この操作を実行するために必要な許可がありません。許可を追加するように管理者に依頼してください。

   Authentication code for device is not valid.
----------------
または
----------------
✕　You need permissions
You do not have the permission required to perform this operation. Ask your administrator to add permissions.

   Authentication code for device is not valid.
----------------

デバイス上で6桁のコードが表示されて、1つ目のテキストボックスに入力したあと、
30秒あとに時間をおいて、デバイス上に表示される「次のコード」を2つ目のテキストボックスに入力する必要があります。
入力画面に「2つの連続したMFAコードを以下で入力してください」とあります通り、1つ目と2つ目が連続している必要があります。


device_not_valid.png

 

 

 

 


 以下のように、上部に緑色のメッセージ

割り当て済みの MFA デバイス
You can register up to 8 MFA devices of any combination of the currently supported MFA types with your AWS account root and IAM user. With multiple MFA devices, you only need one MFA device to sign in to the AWS console or create a session through the AWS CLI with that user.

また、「多要素認証 (MFA) (1)」のようにタイプや識別子に情報が反映されたら、MFAの設定は完了です。

20251105_005.png

画面には、引き続き先述のエラーが表示されますが、正常な動作となりますので、問題ありません。

 

 

MFA設定の完了直後、ポリシーの設定等のために行う以降の操作は、一度AWSマネジメントコンソールをサインアウトして、MFAを用いたサインインを行う必要があります。

20251105_006.png

 

 

 

４．サインアウト後、MFA を用いた再サインインの実施

該当のIAM ユーザーを用いて、再度、AWSマネジメントコンソールにサインインします。

20251105_007.png

 


この時、サインイン画面にて AWS アカウント ID/ユーザー名/パスワードを入力した後、設定した MFA の認証を行います。Authenticatorを起動して6桁の数字を入力することで、サインインが可能です。
20251105_008.png

 

 

５．必要な権限（IAMポリシー）の付与

AWSマネジメントコンソールにサインイン後、IAM 画面を表示させるため、マネジメントコンソール上部の検索窓から「iam」と入力します。検索結果で、以下の通り「IAM」が表示されますので、「ユーザー」を選択します。

20251105_009.png

 

 

IAM ユーザー一覧画面が表示されたら、対象の IAM ユーザー名を選択します。
※もしこの時点で当該ユーザーが表示されない場合は、サインインしている IAM ユーザーに対して MFA が設定されていないためとなります。上の項に戻って、MFA を設定してください。

user_all.png

 

[参考]ユーザー名が一覧に見えない場合

表示上、IAMユーザー名が一覧に表示されない場合には、下のスクロールバーを左へドラッグすると見える場合があります。

IAM_user_unsee.png

 

 

 

IAM ユーザーの詳細画面（許可）から、「許可を追加」を得選択し、必要に応じて対象のIAMユーザーにポリシーを追加してください。 

20251105_010.png

先述に同じく、画面には、引き続き以下などのエラーが表示されますが、正常な動作となりますので、問題ありません。

エラーの例

✕　iam:ListUserPolicies へのアクセスが拒否されました
iam:ListUserPolicies に対する許可がありません。 アクセスをリクエストするには、次のテキストをコピーして AWS 管理者に送信してください。


✕　access-analyzer:ListPolicyGenerations へのアクセスが拒否されました
access-analyzer:ListPolicyGenerations に対する許可がありません。 アクセスをリクエストするには、次のテキストをコピーして AWS 管理者に送信してください。

 

 

例）AWSのマネージドポリシー「AdministratorAccess」を設定する場合

ポリシー「AdministratorAccess」はとても強力なポリシーです。ご自身の環境に則って、環境に必要な最小権限のポリシー割り当てを推奨いたします。

許可のオプションより、「ポリシーを直接アタッチする」を選択します。

表示された許可ポリシーから、検索画面で「Admin」と入力する等して、画面に表示された該当のポリシー名のチェックボックスにチェックを入れます。

policy-003.png

 

画面下部へスクロールし、「次へ」を選択します。

policy-004.png

 

確認画面が表示されます。
割り当てる権限に問題がない場合は、「許可を追加」を選択します。

suzuki_policy-005.png

 

ポリシーの追加が完了します。完了したことを確認するために、ブラウザの更新（リロード）を行います。

suzuki_policy-005-002.png

 

許可ポリシーの一覧に、追加したポリシーが反映されたら作業は完了です。

（権限が割り当てられてから実際の反映まで、1分程度時間がかかる場合があります。）

suzuki_policy-006.png

 

■設定済ポリシー　ChorusPortal-IAMUser-MFAEnforced-Policy　について

AWSアカウントに新規でIAMユーザーを作成する際に、強制的にMFAを設定するポリシーです。
お客様の運用及び管理方針に則ることを目的として本ポリシーを削除しても、他のポリシーには影響はありません。
またポリシーを削除しても、設定されたMFAは削除されません。
AWSのベストプラクティス上では、IAMユーザーにもMFAを適用することが推奨されています。

 

その他、ポリシーの付与のより詳細な方法につきましては、AWSドキュメントのIAMチュートリアルをご確認ください。
 

 IAM ユーザーのアクセス許可を変更する > ポリシーを IAM ユーザーに直接アタッチすることによってアクセス権限を追加するにはhttps://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console

 

一例として、AWSが用意するポリシー（マネージドポリシーまたは「AWS 管理ポリシー」）は以下の通りです。

IAMに関する全アクセス許可を付与する場合
IAMFullAccess

RDSのサービスに関する全アクセス許可を付与する場合
AmazonRDSFullAccess

EC2ののサービスに関する全アクセス許可を付与する場合
AmazonEC2FullAccess
（EC2以外のサービスも含まれます）

AWSマネジメントコンソールに関する全アクセス許可を付与する場合
AdministratorAccess
（当サービスで制限しているサービスや機能を除きます。）

 

マネージドポリシーは以下を参照して、必要に応じてポリシーを付与してください。

AWS マネージドポリシー
https://docs.aws.amazon.com/ja_jp/aws-managed-policy/latest/reference/policy-list.html

 

 

上記のように、AWSが用意するポリシーではなく、個別サービス毎に詳細なポリシーを設定されたい場合には、
最初に必要な権限を持ったAWSが用意するポリシーをアタッチしたうえで、カスタムポリシー（または「カスタマー管理ポリシー」）を作成して付与してください。
※その後、AWSが用意するポリシーは外してください。
https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/access_policies_create.html


 

 

 

６．[参考]Chromeブラウザの 拡張機能 Authenticator の追加

ここでは、「認証アプリケーション」の例として、Google Chrome ブラウザの「Authenticator」の追加方法を説明します。（Authenticator は無料でご利用できます）


Chrome ウェブストアにアクセスし、Authenticatorを追加します。
【Chrome ウェブストア – Authenticator（無料）】
https://chromewebstore.google.com/detail/authenticator/bhghoamapcdpbohphigoooaddinpkbai?hl=ja

chrome-001.png

 

Chrome に Authenticator が追加されていることを確認します。

  1. Chrome の画面右上の3点リーダーを選択します
  2. 「拡張機能」から「拡張機能を管理」を選択します
chrome-002.png

Authenticator が追加されていることを確認します。
また、Authenticator 右下トグルボタンにて「有効化」されていることも確認します。

chrome-003.png

 

Authenticatorを起動する

  1. メニューバーの拡張機能アイコンを選択する
  2. 拡張機能一覧から、「Authenticator」を選択する

※ピン留め（画鋲）アイコンを選択すると、メニューバーにAuthenticatorのショートカットが作成されます。
chrome-004.png


 

 

この記事は役に立ちましたか？
0人中0人がこの記事が役に立ったと言っています

関連記事