アイデンティティ – AWS Identity and Access Management (IAM)

2024年11月12日

AWS Identity and Access Management (IAM): AWSリソースへのアクセス管理を強化するサービス

AWS Identity and Access Management (IAM) は、AWS リソースへのアクセスを安全かつ効率的に管理するサービスです。個々のユーザーやサービスに対してアクセス権限を細かく設定でき、最小権限の原則に基づいてセキュリティを強化します。IAMを使用することで、リソースへのアクセス制御を柔軟かつ一元的に行い、運用の安全性と効率性を向上させることが可能です。

概要

AWS Identity and Access Management (IAM) は、AWS リソースへのアクセスと認証を管理するためのサービスです。IAM を使用することで、各ユーザーやサービスごとに異なるアクセス権限を割り当てることができ、セキュリティを高めつつリソースの利用を効率化します。IAM によって、最小権限の原則に基づいたアクセス管理が可能になり、AWS のセキュリティ基盤の中心的役割を果たしています。

主な特徴

中央管理: IAM では、すべてのアクセス許可を一元的に管理可能です。
細かいアクセス制御: 各ユーザーに最小限の権限のみを付与することで、リソースのセキュリティが向上します。
多要素認証 (MFA): 重要なアカウントへのアクセスに MFA を設定することで、不正アクセスリスクを低減します。
一時的なアクセス権: セッションに限定した一時的なアクセス権を発行でき、必要以上のアクセスがされるリスクを軽減します。

構成要素

プリンシパル
プリンシパルは、AWSリソースにアクセスするエンティティ（ユーザー、アプリケーション、サービスなど）を指します。IAMユーザーやロール、フェデレーティッドユーザーがプリンシパルとして認識されます。
ルートユーザー
ルートユーザーはAWSアカウント作成時に作成されるユーザーで、すべての権限を持つ特別なプリンシパルです。特定の管理タスクにのみ使用することが推奨されます。
IAMユーザー
IAMユーザーは、特定の権限と認証情報を持つユーザーアカウントです。通常のAWSアカウント利用者向けに個別のアクセス権限を付与します。
IAMロール
IAMロールは、特定のアクションやリソースへのアクセスを制限する一時的なアクセス権限を持たせることができ、異なるAWSサービスやユーザー間でのアクセス管理に使用されます。
アクセスキー
IAMユーザーがAWS CLIやAPIでアクセスするための認証情報で、アクセスキーIDとシークレットアクセスキーで構成されています。
フェデレーティッドユーザー
外部のIDプロバイダーと連携し、シングルサインオンを通じてAWSリソースにアクセスするユーザーです。たとえば、Microsoft Active DirectoryやSAML 2.0と連携可能です。
セキュリティポリシー
アクセス権限を管理するポリシーで、AWSリソースに対する操作や条件を制限するルールを含みます。セキュリティ強化に貢献します。
IAMポリシー
IAMポリシーは、JSON形式で記述されたアクセス権限のルールで、プリンシパルに適用されるルールを定義します。ポリシーによってアクセス権限を細かく制御可能です。
インラインポリシー
IAMユーザーやロールに直接アタッチされるポリシーで、特定のエンティティにのみ適用される権限を設定します。
アイデンティティベースポリシー
IAMユーザーやロールに直接関連するポリシーで、特定のエンティティがAWSリソースに対して実行できるアクションを定義します。
リソースベースポリシー
特定のAWSリソースに関連付けられるポリシーで、リソースへのアクセスを定義します。リソースベースポリシーは、S3バケットやSQSキューなどに適用されます。
アクセス許可の境界（Permissions Boundary）
IAMユーザーやロールに付与できる最大のアクセス権限を定義する境界で、権限の範囲を制限します。誤った権限付与を防止するための安全対策として機能します。
サービスコントロールポリシー（SCP）
AWS Organizationsで利用するポリシーで、組織全体でのアクセス制御を統一化します。SCPによって、組織内の各アカウントに対して実行可能な操作を制御します。プリンシパル: AWS リソースにアクセスする主体を指し、ユーザーやロールが該当します。
IAM Roles Anywhere
オンプレミスや他のクラウド環境から AWS リソースに安全にアクセスできる IAM ロールの拡張機能です。IAM Roles Anywhere を使うことで、オンプレミス環境からも安全にアクセス権限を委譲でき、ハイブリッド環境での利用が可能になります。

活用シナリオ

企業内アクセス管理: 社員の役割に応じて権限を細かく設定し、必要なリソースのみにアクセスできるよう管理します。
外部サービスへの権限委譲: 外部アプリケーションにアクセス権を委譲することで、セキュリティを担保しつつ業務を効率化します。
一時的なアクセス: 開発やデバッグ中にのみ権限を付与し、不要になったらアクセスを無効にすることでリスクを減らします。

設定手順

IAMユーザーの作成: IAM コンソールでユーザーを作成し、アクセス権限を割り当てます。
ポリシーの設定: 必要な権限を持つポリシーを作成し、IAMユーザーやロールに割り当てます。
多要素認証の有効化: 高リスクのユーザーには MFA を設定し、認証強度を高めます。
アクセス許可の境界の設定: 管理者権限の設定を行う際はアクセス許可の境界を利用し、不要な権限の拡大を防止します。
SCPの適用: 組織内の各アカウントに SCP を設定し、全体のセキュリティポリシーを確立します。

ソリューションアーキテクトとしてのポイント

AWS IAM はクラウド全体のセキュリティ基盤であり、権限管理を最小権限の原則に基づいて設計することが重要です。特に IAM ポリシーの管理や SCP の適用によって、アクセス範囲を適切に制限することが求められます。加えて、アクセス権限の見直しや MFA の設定を定期的に行うことで、リスク管理を徹底することができます。