AWSを使い始めると、多くの人が「アクセス方法」の壁にぶつかります。「IAMユーザー」「ロール」「AWSアカウント」といった言葉が出てきて、混乱してしまいがちです。

しかし、これらの関係は、私たちが普段から馴染みのある**「会社と従業員」の関係**に例えることで、驚くほどスッキリと理解できます。この記事では、この例えを使って、AWSの2つの主要なアクセス方法を解説します。

【大前提】AWSアカウント＝「会社」そのもの 🏢

まず、全ての土台となるのがAWSアカウントです。これはサーバーやデータベースといった資産（リソース）をすべて保管し、請求が発生する単位でもあります。

これを**「会社」**そのものだと考えてください。以降の話は、すべてこの「会社」に出入りする人の話です。

アクセス方法①：IAMユーザー＝「正社員」による直接出社 🧑‍💼

一つ目は、最も基本的なアクセス方法である IAMユーザー です。これは、会社に正式に籍を置く 「正社員」 に例えることができます。

身分: AWSアカウント（会社）の中に永続的に存在する、登録されたユーザーです。
認証: その会社専用の入館証（IAMユーザー名とパスワード）を使って、直接サインインします。
権限の与えられ方: 正社員の権限の与え方には、主に2つのパターンがあります。
1. 直接的な権限付与: 社員証そのものに「一般フロアのみ入室可」と権限が直接書き込まれている状態。IAMユーザーに直接パーミッション（権限）が設定されます。
2. ロール（役職）の利用: 社員が普段の業務に加え、必要に応じて「金庫番のベスト（ロール）」を着て、その時だけ金庫を開ける権限を得る状態。IAMユーザーが特定のロールを引き受けます。

この「正社員」モデルは、個人の開発者や小規模なチームでAWSを利用する際の基本となります。

二つ目は、主に企業で使われるIAM Identity Center（旧AWS SSO）を経由する方法です。これは、特定のプロジェクトのために契約した**「嘱託社員」**やフリーランスの専門家に例えることができます。

身分: AWSアカウント（会社）の中に、正社員としての籍（IAMユーザー）を持ちません。あくまで外部の人間です。
認証: まず会社の総合受付（IAM Identity Centerのポータル）で本人確認を行います。
権限の与えられ方: 本人確認後、受付で「本日は、このプロジェクトの『管理者』という役職（ロール）で作業をお願いします」と、**一時的な通行証（ロール）**を渡されます。嘱託社員は、常にこの一時的なロールを引き受ける形で権限を得ます。

この「嘱託社員」モデルは、複数のAWSアカウントや多数のユーザーを、安全かつ効率的に一元管理したい大企業などで採用されます。

AWSのコンソール画面にサインインしたとき、右上に表示されるユーザー情報を見れば、自分の「身分」がどちらなのかを確認できます。

この「正社員」と「嘱託社員」の違いを理解するだけで、AWSのアクセス管理に関する悩みは、きっと解決するはずです。