Windows端末にaws vaultをインストールし、AWS CLIを安全に使用してみた。

AWS CLIを暗号化し安全に利用できるアプリケーションがあるということで使ってみた。
※Terraformなどではこの方法を使うらしい。

aws vaultとは

AWSのアクセスキー/シークレットキーをOSのキーストアに保存するアプリケーション。Terraform等のサードパーティアプリケーションで利用される。

やること

　・Windows11にaws vaultをインストール
　・アクセスキー/シークレットキー取得
　・AWS CLIプロファイル作成
　・aws vaultを使用してAWS CLI実行

前提

　・AWS CLIがインストールされていること

実践！

１．IAMグループ作成
１－１．IAM-[ユーザーグループ]-[グループを作成]

１－２．下記を入力し、[グループを作成]
　・ユーザーグループ名：AdminGroups
　・許可ポリシーを添付：AdministratorAccess

２．IAMユーザ作成
２－１．IAM-[ユーザー]-[ユーザーを追加]

２－２．下記を入力し、[次へ]
　・ユーザー名：vaultuser
　・AWSマネジメントコンソールへのユーザーアクセスを提供する：✅
　・ユーザータイプ：
　　・IAMユーザーを作成します：✅
　・コンソールパスワード：
　　・カスタムパスワード：[パスワード]
　・ユーザーは次回のサインイン時に新しいパスワードを作成する必要があります：□

２－３．下記を入力し、[次へ]
　・ユーザーグループ：AdminGroups

２－４．[ユーザーを作成]

２－５．作成したユーザーを選択
２－６．[セキュリティ認証]タブ

２－７．MFA設定 ※GoogleAuthenticatorなどを使って登録してください。
２－８．MFAの識別子を控える

３．アクセスキー/シークレットキー取得
３－１．IAM-[ユーザー]-作成したユーザーを選択
３－２．[セキュリティ認証情報]タブ
３－３．[アクセスキーを作成]
３－４．[その他]を選択し、[次へ]
３－５．[アクセスキーを作成]
３－６．シークレットアクセスキーを表示させメモする。

３－７．[完了]

４．aws-vaultインストール
４－１．下記サイトからaws-vaultをダウンロード
https://github.com/99designs/aws-vault
　README.md内の[latest release]から[aws-vault-windows-386.exe]をダウンロード

　※arm64だと実行できないと表示される。

４－２．任意のフォルダに保存
　今回はc:\tempに保存
４－３．aws-vault.exeをリネーム
　変更前：aws-vault-windows-386.exe
　変更後：aws-vault.exe
４－３．保存したフォルダに環境変数Pathを通す
　４－３－１．[スタート]-[設定]

　４－３－２．[システム]-[バージョン情報]-[システムの詳細設定]

　４－３－３．[詳細設定]タブ-[環境変数]
　４－３－４．環境変数Pathを選択し、[編集]
　　※ログイン中のユーザのみ適用の場合はユーザー環境変数、端末利用ユーザーすべてへ適用する場合はシステム環境変数のPathへ設定する。

　４－３－５．[新規]-c:\tempを入力し[OK]
４－４．コマンドプロンプトを開き下記コマンドを実行、バージョン情報が表示されることを確認する

# aws vault --version

v7.2.0

５．aws vault登録
５－１．aws vault登録

# aws-vault add testvault

Enter Access Key ID: AKIA3QANHVTEGM3Z3MEX
Enter Secret Access Key: ****************************************
Added credentials to profile "testvault" in vault

５－２．登録確認

# aws-vault ls

Profile                  Credentials              Sessions
=======                  ===========              ========
testvault                testvault                -

６．.aws/configファイル編集
６－１．configファイルを開く

%USERPROFILE%/.aws/config

６－２．下記を入力

[profile testvault]
region=ap-northeast-1
output=json
mfa_serial= [mfa識別子]

７．動作確認

# aws-vault exec testvault

Enter MFA code for arn:aws:iam::xxxxxxxxxxx:mfa/test: xxxxxx ※MFAコードを入力
Starting subshell cmd.exe, use `exit` to exit the subshell
Microsoft Windows [Version 10.0.22621.1992]
(c) Microsoft Corporation. All rights reserved.

８．config修正
※aws cliと同じように使いたいのでconfigファイルを修正します。
８－１．configファイルを下記のように修正

[profile testvault]
credential_process=aws-vault exec testvault --json --prompt=wincredui
region=ap-northeast-1
mfa_serial=arn:aws:iam::xxxxxxxxxxxx:mfa/test

８－２．下記コマンドを実行できることを確認

# aws ec2 describe-vpcs --profile testvault

{
    "Vpcs": [
        {
            "CidrBlock": "172.31.0.0/16",
            "DhcpOptionsId": "dopt-88aca5ec",
            "State": "available",
            "VpcId": "vpc-0b7eaa85a85a0772b",
            "OwnerId": "790301748424",
            "InstanceTenancy": "default",
            "Ipv6CidrBlockAssociationSet": [