IAMと最小権限

イントロ

誰に、何を、どこまで許可するか

IAMはAWSリソースへのアクセスを制御する入口です。大切なのは、ログインできることと、操作を許可されることを分けて考えることです。

定義

教科書では: AWSリソースへの認証と認可を管理し、ユーザー、グループ、ロール、ポリシーでアクセスを制御するサービス。
言いかえると: IAMでは、まず誰かを確認する認証があり、その後に何をしてよいかを決める認可があります。すべて許可ではなく、必要最小限にします。

手順

要点

問題文では、誰が、どのリソースに、何の操作をできるかの3点で読む。よくある誤解: ログインできる人は、すべてのAWS操作ができると思う。

例

場面: 研修担当者に、教材ファイルの閲覧だけを許可したい。
順に考えると: 対象はS3の教材ファイル、操作は閲覧です。削除や権限変更は仕事に不要なら許可しません。これが最小権限の読み方です。判断軸は、誰が、どのリソースに、何の操作をできるかの3点で読む。
ここが結論: 権限は人ではなく、仕事に必要な操作から決めます。迷ったら、IAMと認証を分けます。

注意

確認

Q1

最小権限の考え方として最も適切なのはどれですか。

まとめ

ルートユーザーは強い権限を持つため日常利用を避け、MFAで保護する。人やアプリの通常作業には、役割に応じた一時認証情報を使う考え方が重要である。