AWSコンソールのIP制限対応

2025 11/25

2025年11月25日 2025年11月25日

本記事について

本記事は、2023年12月に社内で実施した勉強会の内容をもとに、外部向けに加筆・再構成したものです。
記載の内容は執筆当時の情報であり、現在の仕様やベストプラクティスと異なる可能性があります。
実装にあたっては、必ず最新の公式ドキュメントをご確認いただくようお願いいたします。

概要

AWSマネジメントコンソールに対してIP制限を適用したいと考え、対応方法を検討しました。

対応方法

AWSマネジメントコンソールへの直接的なログイン制限はできません
各サービスにアクセスした際に権限を付与しないよう制御することは可能です
- アクセス時には「アクセス権限なし」と表示されます

問題点

AWS CLI での操作にも制限がかかってしまいます
ローカル環境から CLI コマンドを実行できなくなります
※AWS CloudShell を利用することで回避が可能です

参考URL：
DevelopersIO, hato, AWS CloudShell で IP アドレス制限のある IAM ユーザの操作が AccessDenied になるときの対処方法（2023年12月閲覧）
https://dev.classmethod.jp/articles/tsnote-aws-cloudshell-accessdenied-by-ip-address-restriction/

IAMポリシーの例

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SourceIPRestriction",
            "Effect": "Deny",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [   # IP制限設定
                        "xxx.xxx.xxx.xxx/32",
                        "xxx.xxx.xxx.xxx/32"
                    ]
                },
                "Bool": {
                    "aws:ViaAWSService": "false" # AWSサービスからのリクエストかの判定。AWSからはtrueになる。
                },
                "StringNotLike": {
                    "aws:userAgent": "*aws-cli*" # CloudShellでCLI実行時のIP制限を除外
                }
            }
        },
        { # CloudShellの権限付与
            "Action": [
                "cloudshell:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

参考URL：
DevelopersIO, 荒川靖久, IAM ポリシーで特定条件のアクセス制限をかけつつ、AWS サービスのアクセスは許可したいときの対処方法（2023年12月閲覧）
https://dev.classmethod.jp/articles/tsnote-iam-allow-aws-service/