Private SubnetのCloud9からAWS APIが叩けない問題

AWS managed temporary credentialsを使うと、Private Subnetに構築したCloud9からAWS APIが叩けない、ということの備忘録です。

はじめに
Private SubnetのCloud9からAWS APIが叩けない問題
おわりに
参考

はじめに

Private Subnetに構築したCloud9からAWS APIが叩けない、という事象に遭遇しました。

この現象の裏にこれまで知らなかった仕様があったので、備忘録にまとめます。

起きた現象

まずは起きたことを整理します。

Private SubnetにCloud9を構築しました。

※ Private SubnetにCloud9を構築するやり方は別途記事参照：

www.bioerrorlog.work

そしてこのCloud9から適当なAWS APIを叩くと、権限エラーInvalidClientTokenIdが発生します。

$ aws sts get-caller-identity
An error occurred (InvalidClientTokenId) when calling the GetCallerIdentity operation: The security token included in the request is invalid

この時の条件は、

Cloud9の権限はAWS managed temporary credentialsで付与 (デフォルト)
操作ユーザーの権限は、AWSへのフルアクセス可能なAdmin権限

です。

AWS managed temporary credentialsによってAdmin権限がCloud9に渡るので、上記のようなAPI callは成功する想定でした。

※ AWS managed temporary credentialsによって実行できるActionには元々制限がありますが、今回取り上げているのはAWS managed temporary credentialsでも実行できるはずのActionが実行できない、というケースです。

なぜAWS APIが叩けないのか

「Private Subnetに構築されたCloud9からは、AWS managed temporary credentialsによってAWSサービスにアクセスできないから」です。

これは現在ドキュメントに明記された仕様です。

Currently, if your environment’s EC2 instance is launched into a private subnet, you can't use AWS managed temporary credentials to allow the EC2 environment to access an AWS service on behalf of an AWS entity (for example, an IAM user).

Ref. Identity and access management in AWS Cloud9 - AWS Cloud9

訳：「現在、EC2インスタンスがprivate subnetに起動されている場合、AWS managed temporary credentialsを使ってAWSエンティティ（例: IAMユーザー）の代理としてAWSサービスにアクセスすることはできません。」

ということで、現時点ではprivate subnetでAWS managed temporary credentialsを使うことはできません。