はじめに
- クラウドプラクティショナーの資格勉強をしていると、APIキー（アクセスキーとシークレットキー）の管理に関する注意が出てきました。
- ルートアカウントで、発行するのがとても危険ということで、その意味が全く分からなかったので調べてみました。
具体的なアクセスキーの使い方
まずは、APIキーをどう使うのかを調べてみました。
- IAMグループで、ポリシーを付与(例えば、S3のフル権限とした場合)
- このグループにIAMユーザーを追加
- IAMユーザーに対して、アクセスキーとシークレットキーを発行
- つまり、このIAMユーザーはS3に対して、このキーを利用しS3を操作できる
つまりアクセスキーとは何か
- IAMユーザーに対して発行される
- そのIAMユーザーが持つすべての権限を、このキーを用いて利用することができる
ルートアカウントのAPIキーを発行するのが危険な理由
- これが良くないのは、すべての権限を持つIAMユーザーに対して、アクセスキーとシークレットキーを発行してしまった場合、このキーですべての操作が可能になってしまうということ。