IAMとは
AWS Identity and Access Manegement の略
AWSのサービスを利用するための権限を管理し、各サービスへのアクセスを制御する仕組み
主要トピック
- ユーザー
- グループ
- ポリシー
- ロール
ユーザー
1. ルートユーザー
AWSアカウント作成時に作られるアカウント
全てのAWSサービスとリソースを使用できる権限を有する
※ 基本的に、日常的なタスクには使用しない
2. IAMユーザー
IAMポリシー内でAWSサービスを使用出来るユーザー
※ 基本操作はIAMユーザーアカウントで行う
- 1アカウント5,000ユーザーまで作成可能
- 1ユーザー10グループまで所属可能
3. パワーユーザー
IAMユーザーやグループの管理以外の全てのAWSサービスにフルアクセス権限を有するユーザー
グループ
IAMユーザーをグルーピングし、権限管理を容易にする仕組み
- 1アカウント300グループまで作成可能
ポリシー
どのAWSリソースにどのサービスのどのような操作を許可/拒否するかを定義するもの
JSON形式で記述
1. 管理ポリシー
AWS管理ポリシー：AWSが作成・管理するポリシー
カスタム管理ポリシー：AWSアカウントで作成・管理するポリシー
2. インラインポリシー
1つのプリンシパルエンティティ（ユーザー、グループ、またはロール）に埋め込まれた固有ポリシー
JSONに記述する設定内容
| key | value |
|---|---|
| Effect | Allow / Deny |
| Action | 対象のAWSサービス |
| Resource | 対象のAWSリソース |
| Condition | アクセス制御が有効となる条件 |
ポリシー適用
ユーザーベースのポリシー適用：IAMユーザー、IAMグループ、IAMロールにアタッチ
リソースベースのポリシー適用：AWSリソースにアタッチ
ロール
AWSサービスやIAMユーザーの役割を定義し、アクセス権限を管理する概念
1. AWSサービスロール
付与先がAWSリソースであるロールのこと
AWSリソースがIAMロールの内容に応じて別のAWSリソースにアクセスする際には、AWS STK（Security Token Service）から一時的なアクセスキーを取得し、利用する
→ アクセスキーとシークレットキーのペアは不要
2. クロスアカウントアクセス用ロール
AWSアカウントをまたいだAWSサービスへのアクセスを一時的に許可するためのロール
3. AWSの外部ユーザー用ロール
IDフェデレーションという仕組みを利用し、AWS外のユーザーIDに対してAWSアカウント内のAWSリソースへのアクセスを許可出来る
IDフェデレーション
複数のシステムやサービスをまたがってIDを利用できるようにする認証連携機能
利用しているIDプロバイダーやディレクトリによって適切なIDフェデレーションを選択する
・ SAML2.0
IDプロバイダーがSAML2.0に対応している場合は、IAM SAML2.0 IDプロバイダーによるIDフェデレーションが可能
・ OpenID Connect
IDプロバイダーがOpenID Connectに対応している場合は、IAM OpenID Connect IDプロバイダーによるIDフェデレーションが可能
ウェブIDフェデレーション：FacebookやTwitterなどのOpenID Connectに対応しているソーシャルIDを利用するIDフェデレーション
・ LDAP
LDAPなど、SAML2.0に対応していないIDフェデレーションを使用する場合は、カスタムIDブローカーを開発することでIDフェデレーションを実装出来る
・ AD（ADFSなし）
オンプレミスでActive Directoryを使用し、ADFSを使用していない場合、AWS Directory Service AD Connectorを使用することで直接IDフェデレーションが可能
・ モバイル（ソーシャルID）
モバイルアプリケーションがS3やDynamoDBなどのAWSリソースにソーシャルIDを使用してアクセスする場合には、Amazon Coginfoを使用出来る
ユーザーのアクティビティの記録
1. Access Advisor：IAMエンティティ（ユーザー・グループ・ロール）が最後にAWSサービスにアクセスした日時を表示する機能
2. Credential Report：利用日時などが記録されたIAM認証情報に関わるレポートファイル
3. AWS Config：IAMのユーザー・グループ・ロール・ポリシーに関して、変更履歴・構成変更を管理・確認することが出来る機能
4. CloudTrail：AWSインフラストラクチャ全体でアカウントアクティビティをログに記録し、継続的に監視し、保持することが出来る機能