【簡単Terraform】【初心者向け】AWS 実践系 TerraformでAWS IAMポリシーを管理する方法

本記事では、AWS IAM ポリシーを Terraform（HCL）で管理する実践的な方法について解説します。
手動設定（AWS コンソール）から IaC（Infrastructure as Code）へ移行したい方を対象に、
設計方針・サンプルコード・運用時の注意点までをまとめています。

---

🎯 対象読者

• AWS を使い始めたが、IAM 管理が煩雑になってきた方
• Terraform を実務で使い始めたいエンジニア
• IAM ロール・ポリシーをコードで安全に管理したい方

---

🧩 なぜ Terraform で IAM を管理するのか

IAM をコンソールで管理すると、以下の課題が発生しがちです。

• 誰が・いつ・何を変更したか分からない
• 環境（dev / stg / prod）ごとの差分管理が困難
• 再現性が低く、属人化しやすい

Terraform を使うことで、

• ✅ 変更履歴を Git で管理
• ✅ 同一構成を複数環境へ安全に展開
• ✅ レビュー可能な IAM 設計

が可能になります。

---

🛠 Terraform による IAM 管理の基本構成

管理対象

• IAM Policy
• IAM Role
• Policy Attachment

ディレクトリ例

iam/
 ├─ main.tf
 ├─ variables.tf
 ├─ outputs.tf

---

✍️ IAM ポリシーを HCL で定義する

例：S3 読み取り専用ポリシー

resource "aws_iam_policy" "s3_read_only" {
  name        = "s3-read-only-policy"
  description = "Allow read-only access to S3"

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect   = "Allow"
        Action   = [
          "s3:GetObject",
          "s3:ListBucket"
        ]
        Resource = "*"
      }
    ]
  })
}

📌 ポイント

• jsonencode を使うことで、JSON を HCL 内で安全に記述可能
• 可読性・レビュー性が向上

---

👤 IAM ロールとポリシーの関連付け

resource "aws_iam_role" "example_role" {
  name = "example-role"

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Principal = {
          Service = "ec2.amazonaws.com"
        }
        Action = "sts:AssumeRole"
      }
    ]
  })
}

resource "aws_iam_role_policy_attachment" "attach" {
  role       = aws_iam_role.example_role.name
  policy_arn = aws_iam_policy.s3_read_only.arn
}

---

🚨 実務での注意点

1️⃣ Managed Policy と Inline Policy の使い分け

• 共通利用 → Managed Policy
• 個別用途 → Inline Policy

2️⃣ ポリシー肥大化を防ぐ

• 1 Policy = 1 責務を意識
• 不要な * を避ける

3️⃣ terraform plan を必ずレビュー

IAM は セキュリティ直結のため、
plan の差分確認は必須です。

---

📦 運用を楽にするコツ

• 環境別に Workspace / module 分離
• IAM 用 module を作成して再利用
• CI で terraform plan を自動実行

---

✅ まとめ

Terraform を使った IAM 管理は、

• 🔒 セキュリティ向上
• 📄 構成の可視化
• 🔁 再現性の高い運用

を実現します。

まずは 小さな IAM ポリシーから Terraform 管理を始めてみてください。

---

🔗 参考リンク

• Terraform AWS Provider IAM Docs
• AWS IAM ベストプラクティス