概要

AWS 認定ソリューションアーキテクト – プロフェッショナル資格試験に向けた小ネタ集。
今回はIAMポリシーについてです。

[2020年10月追記]
2回目の受験でついにプロフェッショナル試験に合格しました！
合格体験記／勉強法を以下で投稿しているので良かったら読んでください。
試験受ける予定がある方の少しでも役に立てればと思います(^^)

本題

IAMのアイデンティティ (ユーザー、ユーザーのグループ、ロール) ベースにアタッチできるポリシー（ユーザーまたはロールなどのエンティティが実行できるアクション、リソース、および条件）、リソースベースのポリシーに関する整理です。

ポリシーは実はだいぶ深い概念で一度に整理するのは難しいため今回はアイディンティティベースのポリシーです。

ポリシーの全体像としてわかりやすかったページは以下

AWS公式ドキュメントだと以下

アイデンティティ (ユーザー、ユーザーのグループ、ロール) にアタッチする
以下の管理ポリシーの２種類とインラインポリシーの１種類で合計３種類ある
管理ポリシー：以下の２種類に分類される
- AWS管理ポリシー：AWSが職務機能用に設計されているもの
- カスタマー管理ポリシー：AWS管理ポリシーをコピーして作成でき、カスタマイズできるもの
インラインポリシー：単一のユーザー、グループ、またはロールに直接埋め込まれる。通常、インラインポリシーを使用することは推奨されていません。
管理ポリシーとインラインポリシー

図にすると以下。ポイントは、
- AWS管理ポリシーをコピーして作成でき、カスタマイズできる
- AWSアカウント内の管理になるため他のアカウントにはアタッチできない

図にすると以下。ポイントは、
- 単一のユーザー、グループ、またはロールに直接埋め込まれる
- 図のDynamoDB-books-appを更新する場合、EC2-accessロールとbooks-appロールの両方のインラインポリシーを更新する必要がある

リソースにアタッチする
- 例えば、S3のバケットポリシー、Amazon SQS キュー、AWS Key Management Service 暗号化キーにアタッチすることができる
- 以下の一覧でリソースベースのポリシー「あり」になっているサービス
- https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html
アイディンティティベースのポリシーとは違い、リソースベースのポリシーはそのリソースにアクセスできるユーザー（プリンシパル）を指定する
- https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_roles_compare-resource-policies.html
ロールによる権限の委任の場合、他のアカウントがクロスアカウントする場合、作業時の権限はロールに定義された権限になり、委任される前に持っていたロールの権限は引き継がれない。リソースベースのポリシーの場合は、ロールは変わらないため今持っているロール権限もそのまま使えた上でクロスアカウントアクセスが可能となる。と、いった利点がある

アソシエイト資格の勉強法は以下を参照

プロフェッショナル資格の勉強法は以下を参照

その他の小ネタは以下を参照