Zenn
🔐

AWS IAMについて

2024/05/20に公開
AWS
IAM
tech

IAMとは


【初心者向け】AWS IAM (Identity and Access Management ) 入門

IAM（Identity and Access Management）は、AWSのセキュリティ管理サービスの一つです。このサービスの名前は「Identity and Access Management」の略で、文字通り「身元」と「アクセス管理」を意味します。IAMを使うことで、AWSのリソースへのアクセスを細かく制御できます。具体的には、誰が何にアクセスできるか、どのリソースに対してどのような操作が許可されているかを管理することが可能です。

IAMでは、ユーザー（人やアプリケーション）を作成し、それぞれに個別のアクセス権限を設定します。これにより、セキュリティを強化し、必要なリソースだけにアクセスを限定することができます。例えば、開発チームのメンバーには開発環境へのフルアクセス権限を与え、マーケティングチームにはマーケティングデータへのアクセスのみを許可する、といったことが実現できます。

ルートユーザーとIAMユーザーの違い

AWSに登録し、クレジットカードなどの契約情報を入力すると、最初に作成されるのがAWSアカウントの「ルートユーザー」です。ルートユーザーはそのアカウント内のすべてのリソースに対して、無制限の操作権限を持っています。これは、AWSのあらゆる設定やリソースにアクセスできる特権的なアカウントです。そのため、万が一ルートユーザーのパスワードが流出した場合、アカウント全体が乗っ取られ、大量の不正利用や課金が発生するリスクがあります。このようなリスクを回避するために、AWSではルートユーザーを日常的な操作には使わないことを推奨しています。

アカウントを作成した後は、まずルートユーザーに対して多要素認証（MFA）を設定し、セキュリティを強化することが重要です。その後、操作用のIAMユーザーを作成し、このIAMユーザーを使用して日常的なAWSリソースの管理や操作を行うのがベストプラクティスです。操作用のIAMユーザーには、必要に応じて「Administrator権限」を付与することで、ほとんどのAWSリソースに対する操作が可能になります。

ルートユーザーとAdministrator権限の違い

一見すると、IAMユーザーにAdministrator権限を付与すればルートユーザーと同等の権限が与えられるように思えますが、実際にはいくつかの重要な違いがあります。ルートユーザーにしかできない操作も存在するため、これらを理解しておくことが重要です。具体的には、以下の操作はルートユーザーのみが行うことができます：

  • ルートユーザーの権限情報の変更
  • 請求およびコストマネジメントコンソールへのIAMアクセスを有効にする
  • AWSアカウントの解約
  • AWSサポートプランの変更
  • 支払オプションの変更、または削除

これらの操作は、アカウントの管理や重大な設定変更に関わるものであり、セキュリティ上の理由からルートユーザーのみが実行できるようになっています。そのため、日常的な運用にはIAMユーザーを使用し、ルートユーザーは必要な時だけ使用するようにすることで、セキュリティリスクを最小限に抑えることができます。

IAMユーザーとIAMグループの違いは？

IAMユーザーは個々のユーザーに与えられるログイン情報です。これにより、ユーザーはAWSリソースにアクセスして操作することができます。各IAMユーザーには個別に権限を設定することが可能です。しかし、大規模な組織では、すべてのユーザーに個別の権限を設定するのは非効率です。そこで役立つのがIAMグループです。

IAMグループは、複数のIAMユーザーを一括して管理するためのものです。グループに対して権限を設定すると、そのグループに所属するすべてのユーザーに同じ権限が適用されます。例えば、1000人の組織でメンバー全員にIAMユーザーを作成し、個別に権限を設定すると、多大な時間と労力がかかります。しかし、IAMグループを利用すれば、グループ単位で権限を管理できるため、効率的にユーザー管理ができます。

認証方法

AWSでは、いくつかの認証方法が用意されており、それぞれ異なるユースケースに対応しています。以下は代表的な認証方法とそのユースケースです。

  1. ユーザーID/パスワード: この方法は主にAWSマネジメントコンソールへのログインに使用されます。ユーザーはAWSのウェブインターフェースにアクセスし、リソースを管理できます。
  2. ユーザーID/パスワード＋多要素認証（MFA）: これもマネジメントコンソールへのログインに使用されますが、追加のセキュリティを提供します。MFAを有効にすることで、パスワードに加えて一時的に生成されるセキュリティコードも必要になります。これにより、不正アクセスのリスクが大幅に減少します。
  3. アクセスキー/シークレットキー: この方法はAWS CLI（Command Line Interface）やAPI操作に使用されます。プログラムやスクリプトがAWSリソースにアクセスする際に必要です。アクセスキーとシークレットキーの組み合わせにより、自動化されたタスクやサービス間の通信を安全に行うことができます。

IAMポリシー

IAMポリシーは、IAMユーザーやIAMロールに設定できる権限を定義したものです。ポリシーはJSON形式で記述され、どのリソースに対してどのような操作が許可されているかを細かく設定できます。これにより、必要最小限の権限を付与する「最小権限の原則」を実践できます。

例えば、以下のようなポリシーを設定することで、特定のS3バケットに対する読み取り権限だけを与えることができます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": ["arn:aws:s3:::example-bucket/*"]
    }
  ]
}

IAMロールとIAMグループの違い

IAMグループとIAMロールは、どちらも権限を管理するためのAWSの機能ですが、用途が異なります。

  • IAMグループ: IAMユーザーをまとめて管理するためのグループです。グループに権限を設定すると、所属するすべてのIAMユーザーにその権限が適用されます。これにより、多数のユーザーに対する権限管理が簡単になります。
  • IAMロール: ユーザーではなく、AWSリソースに対して権限を付与するためのものです。IAMロールは、特定のAWSサービスやアプリケーションがAWSリソースにアクセスする際に使用されます。IAMロールを使うことで、アクセスキーやシークレットキーを利用せずに認証トークンをやり取りするため、セキュリティが向上します。

例えば、EC2インスタンスからS3バケットにファイルをアップロードする場合、EC2インスタンスにS3の操作権限を付与したIAMロールをアタッチします。これにより、EC2インスタンスは適切な権限を持ってS3バケットにアクセスできます。このように、AWSサービスに対する権限付与において、IAMロールは非常に重要な役割を果たします。

AWS Organizationsとは

AWS Organizationsは、複数のAWSアカウントを一元管理するためのサービスです。このサービスを利用することで、組織全体でのAWSリソースの管理、ポリシーの適用、コストの監視などを一括して行うことができます。AWS Organizationsを使用すると、単一の管理コンソールから複数のAWSアカウントをまとめて管理できるため、特に大規模な企業や組織において非常に便利です。

Discussion