請求関連のIAMポリシーのアップデートについて

挨拶

こんにちは、1月に2度目のコロナウイルスに感染し、いろいろなイベントへの参加を逃したyuhanです。
AWSのアップデートにより、請求に関するIAMポリシーの記述の仕方が変わります。
シンプルな記述ゆえに細かい権限制御ができなかった請求関連の権限ですが、このアップデートによって、以前はできなかった細やかな権限の制御が可能になっています。
マネージドポリシーを利用している場合は特に修正などの対応は不要ですが、カスタムポリシーを利用している場合は、新しい記述を追加する等の対応が必要になる可能性があります。
具体的にどのような変更があったのか、どのように対応する必要があるか、一緒に確認していきましょう。

請求に関連した権限

まず、アップデート前の請求に関連した権限を見ていきましょう。
IAMポリシーで制御できる各権限については、下記の表の通りになっています。

参考：https://docs.aws.amazon.com/ja_jp/awsaccountbilling/latest/aboutv2/billing-permissions-ref.html

アップデート内容

廃止になる記述

廃止になる記述は下記の通りです。
2023 年 7 月 6 日以降利用できなくなるため、これらのアクションを記述したIAMポリシーを作成している場合は、対応が必要です。

• aws-portal:ViewAccount
• aws-portal:ViewBilling
• aws-portal:ViewPaymentMethods
• aws-portal:ViewUsage
• aws-portal:ModifyAccount
• aws-portal:ModifyBilling
• aws-portal:ModifyPaymentMethods
• purchase-orders:ViewPurchaseOrders
• purchase-orders:ModifyPurchaseOrders

新しい記述

アップデートにより、新しいサービスプレフィックス4つと、既存の 5 つのサービスプレフィックス、 billing, accounts, cur, purchase-orders, taxの配下に新しい権限が追加されました。

新しいサービスプレフィックス

• consolidated billing サービスプレフィックス
  アカウントロールなどの一括請求機能に関連した権限を提供します。

• freetier サービスプレフィックス
  AWS 請求コンソールの無料利用枠機能に関連した権限を提供します。

• invoicing サービスプレフィックス
  AWS 請求コンソールの請求リソースへに関連した権限を提供します。

• payments サービスプレフィックス
  AWS 請求コンソールの支払いと支払い方法に関連した権限を提供します。

新しい権限

既存の権限も含めて、各プレフィックスで指定できる権限を下記にまとめてみました。

• billing
  AWS 請求コンソールの 請求機能 (ホーム、請求書、クレジット、請求設定) に関連したアクセス権限を提供します。

• account
  AWS Account Management リソースへに関連したアクセス権限を提供します。

• cur
  AWS 請求コンソールの コストと使用状況レポートに関連したアクセス権限を提供します。

• purchase-orders
  AWS 請求コンソールの 発注書 機能に関連したアクセス権限を提供します。

• tax
  AWS 請求コンソールの 課税設定 に関連したアクセス権限を提供します。

変更例

例として、下記のようにAWS 請求とコスト管理コンソール全体での参照を全て許可する権限を設定していた場合、どのような変更が必要になるのか、見ていきましょう。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowBilling",
            "Effect": "Allow",
            "Action": "aws-portal:ViewBilling",
            "Resource": "*"
        }
    ]
}

後ほど詳しく説明しますが、2023年3月7日以前に作成されたAWSアカウントの場合、移行期間中は、下記のように新しい権限と古い権限の両方を記述する必要があります。
今までは、aws-portal:ViewBilling を利用して一括で請求関連へのアクセスを許可することができましたが、記述項目が増えて細かい機能単位で制御できるようになっていることがよくわかりますね。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowBillingNewPermission",
            "Effect": "Allow",
            "Action": [
                "ce:Get*",
                "ce:Describe*",
                "ce:List*",
                "account:GetAccountInformation",
                "billing:Get*",
                "payments:List*",
                "payments:Get*",
                "tax:List*",
                "tax:Get*",
                "consolidatedbilling:Get*",
                "consolidatedbilling:List*",
                "invoicing:List*",
                "invoicing:Get*",
                "cur:Get*",
                "cur:Validate*",
                "freetier:Get*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowBillingOldPermission",
            "Effect": "Allow",
            "Action": "aws-portal:ViewBilling",
            "Resource": "*"
        }
    ]
}

これにより、担当者に合わせてどの権限が必要で、どの権限が不要か、精査して適切な権限を設定することができます。
予め必要な操作のみを許可していれば、不必要な操作をしてしまうリスクも軽減されて、より安全にAWSを利用できるようになりますね。

注意点

最後に、変更例で少し触れた注意点について書かせていただきます。

アカウントが 2023 年 3 月 7 日 午前 4 時 (日本標準時) より前に作成された場合、または 2023 年 3 月 7 日 午前 4 時 (日本標準時) より前に作成された 管理アカウント が持つAWS Organizations 組織に所属している場合は、移行期間は 6 か月です。その間、AWS がaws-portalの IAM アクションを廃止する 2023 年 7 月 6 日まで、既存のaws-portalIAM アクションを引き続き使用できます。AWS では、AWS 請求、コスト管理、アカウントコンソールへのアクセスを維持するために、影響を受けるすべてのポリシーを 2023 年 7 月 6 日までに更新できるように、新しいきめ細かなアクセス権限の追加を早急に開始することをお勧めします。新しい権限は 2023 年 7 月 6 日以降まで有効にならないため、既存の IAM アクションと新しい IAM アクションの両方を維持してください。
引用元：https://aws.amazon.com/jp/blogs/news/changes-to-aws-billing-cost-management-and-account-consoles-permissions/

2023年3月7日以前に作成されたAWSアカウント（もしくは2023年3月7日以前に作成された管理アカウントが持つAWS>2023年3月7日以前に作成されたAWSアカウント（もしくは2023年3月7日以前に作成された管理アカウントが持つAWS Organizationsに所属している）の場合、移行期間の間は、新しい権限は有効になりません。
事前に書き換えて切り替えておくといった対応はできないため、2023 年 7 月 6 日までは廃止になる権限と新しい権限の両方を記述する必要があります。
新しい権限の有効後には、不要な記述は削除することを忘れないようにしておきましょう。

2023/03/30追記

事前に書き換えて切り替えておくといった対応はできないため、2023 年 7 月 6 日までは廃止になる権限と新しい権限の両方を記述する必要があります。

上記のように記載したのですが、AWSにて更新があり、2023 年 7 月 6 日 までは、新しい権限と古い権限の使用を切り替えることができるようになったようです。

詳しくは こちら をご参照ください。

新しいIAM権限を設定して、目的の権限設定を行うことができるか事前検証を行うことができますね！
7月6日までに、新しい権限を検証して適切な権限設定に更新できるように、忘れず準備していきましょう。

yuhan