どーも！shihopowerです！

AWSのSAP（Solutions Architect Professional）対策をしていると、IAM DB認証・Secrets Manager・Parameter Store・Cognito・IAM Identity Center…と認証系のサービスが次々と登場します。

「結局どれをどの場面で使えばいいの？？」状態になったので、公式ドキュメントをもとに体系的に整理してみました。

忙しい人向け要約

AWS認証系サービスは「誰を認証するか」で3つに分類できます。

カテゴリ	サービス	一言まとめ
AWSリソースの制御	IAM	全ての基盤。ロールとポリシーで権限管理
AWSリソースの制御	IAM Identity Center	社員向けSSO。Active Directory連携も可
アプリユーザーの認証	Cognito ユーザープール	アプリの会員登録・ログイン機能
アプリユーザーの認証	Cognito IDプール	アプリユーザーへの一時的AWS認証情報の付与
シークレット管理	Secrets Manager	DBパスワード等の自動ローテーション管理
シークレット管理	Parameter Store	設定値・シークレットの低コスト管理

1. 全体像：「誰を」認証するかで3分類

AWS の認証系サービスが多い理由は、認証の対象がそもそも異なるからです。

① AWS リソースにアクセスする「AWSユーザー・サービス」を管理したい
  → IAM / IAM Identity Center

② アプリを使う「一般ユーザー（エンドユーザー）」を管理したい
  → Amazon Cognito

③ アプリが使う「パスワードやAPIキー（シークレット）」を管理したい
  → Secrets Manager / Parameter Store

この3分類を頭に入れておくと、サービス選択で迷わなくなります。

2. ① AWSリソースのアクセス制御

AWS IAM（Identity and Access Management）

IAMは、AWSリソースへのアクセスを安全に制御するためのサービスです。「認証（サインイン）」と「認可（リソースへのアクセス許可）」の両方を制御します。

主な機能

ユーザー・グループ・ロールの作成と管理
ポリシー（JSON）で細かな権限を設定
IAM DB認証でデータベースへのパスワードレスアクセスが可能
追加コストなし

使う場面

Lambda関数にS3やRDSへのアクセス権を与えたいとき
EC2インスタンスが他のAWSサービスを呼び出すとき
すべての認証系サービスの土台として常に関わってくる

IAMはすべてのAWSサービスの権限管理の基盤です。他の認証系サービスを使う場合も、必ずIAMと組み合わせて利用します。

AWS IAM Identity Center（旧：AWS Single Sign-On）

IAM Identity Centerは、従業員（ワークフォース）向けのSSOサービスです。複数のAWSアカウントやアプリケーションへのアクセスを一元管理できます。

主な機能

1回のログインで複数のAWSアカウントにアクセス（SSO）
Active DirectoryやOktaなどの既存IDプロバイダーと連携
一時的な認証情報を自動発行
AWS Organizationsと連携して組織全体を管理

使う場面

社員が複数のAWSアカウント（開発・本番など）を使い分けるとき
既存のActive Directoryを活用してAWSアクセスを管理したいとき
大規模な組織でAWSアカウントを一元管理したいとき

3. ② アプリのエンドユーザー認証

Amazon Cognito — ユーザープール（User Pools）

ユーザープールは、Webアプリやモバイルアプリのユーザーにサインアップとサインインの機能を提供するユーザーディレクトリです。

主な機能

メール・パスワードによるユーザー登録とログイン
Google・Facebook・Appleなどのソーシャルログイン連携
MFA（多要素認証）対応
数百万ユーザーまでスケール可能

使う場面

スマホアプリに「会員登録・ログイン画面」を実装したいとき
ユーザー管理の仕組みをゼロから作りたくないとき
ソーシャルログインと自社ユーザー管理を統合したいとき

Amazon Cognito — IDプール（Identity Pools）

IDプールは、認証済みユーザーや未認証（ゲスト）ユーザーに対して、一時的なAWS認証情報を発行するサービスです。

主な機能

認証済みユーザーへの一時的なAWSクレデンシャル発行
未認証（ゲスト）ユーザーへの限定的なアクセス許可
ユーザープールと組み合わせた利用が一般的

使う場面

モバイルアプリのユーザーがS3に直接ファイルをアップロードするとき
ゲストユーザーにも一部のAWSリソースにアクセスさせたいとき

ユーザープールとIDプールの違いをひと言でいうと…

ユーザープール → 「誰？」を確認する（認証）
IDプール → 「何ができる？」のAWS権限を渡す（認可）

4. ③ シークレット・設定値の管理

AWS Secrets Manager

Secrets Managerは、データベース認証情報・APIキー・OAuthトークンなどのシークレットをライフサイクル全体を通じて管理するサービスです。

主な機能

シークレットの安全な保存（KMSで暗号化）
自動ローテーション（RDS・Redshift・DocumentDB対応）
IAMポリシーによるアクセス制御
クロスアカウントでの共有

使う場面

RDSのパスワードを定期的に自動更新したいとき
APIキーをコードにハードコードせず安全に管理したいとき
コンプライアンス要件でシークレットのローテーションが義務付けられているとき

Secrets Managerは有料サービスです（シークレットごとの月額料金＋APIコール料金）。コストが気になる場合はParameter Storeも検討しましょう。

AWS Systems Manager Parameter Store

Parameter Storeは、設定値とシークレットの両方を階層的に管理できるキーバリューストアです。

主な機能

文字列・暗号化文字列（SecureString）・文字列リストの保存
KMSによる暗号化（SecureString）
バージョン管理とアクセス履歴
Lambda・EC2・ECSなどとのシームレスな統合

使う場面

環境変数（APIエンドポイント、フラグ等）をコードから切り離したいとき
シークレットの自動ローテーションが不要で、コストを抑えたいとき
設定値とシークレットを1つのサービスでまとめて管理したいとき

Secrets ManagerとParameter Storeの使い分け

	Secrets Manager	Parameter Store
自動ローテーション	✅ あり	❌ なし
クロスアカウント共有	✅ あり	❌ なし
コスト	有料	無料〜（高スループットは有料）
用途	シークレット専用	設定値＋シークレット

5. サービス選択ガイド

「どのサービスを使えばいい？」と迷ったときのフローです。

認証したいのは誰？
│
├─ AWSサービス同士・社内エンジニア
│   ├─ 個人やサービスの権限管理 → IAM
│   └─ 社員が複数アカウントにSSO → IAM Identity Center
│
├─ アプリの一般ユーザー
│   ├─ ログイン・会員管理 → Cognito ユーザープール
│   └─ AWSリソースへのアクセス権付与 → Cognito IDプール
│
└─ アプリが使うパスワード・キー
    ├─ 自動ローテーションが必要 → Secrets Manager
    └─ 設定値も含めて管理したい・コストを抑えたい → Parameter Store

6. 実践例で理解する選択の考え方

実際にどのサービスを選ぶか、具体的なシナリオで考えてみます。

シナリオ

以下のような構成のシステムがあります。

Lambda関数の上でアプリが動作し、同一VPC内のAurora DBからデータを取得する
LambdaはデータをS3バケット（SSE-KMS）に書き込む
要件① DBの認証情報が漏洩した場合の影響を最小化したい
要件② データはインターネットを経由せずに転送したい

選択肢の検討

要件①への対応

案	方法	問題点
A	IAM DB認証を使う	パスワード自体が存在しない → 漏洩リスクがゼロ ✅
B	Secrets Managerで管理	パスワードは存在するため漏洩リスクは残る
C	Parameter Storeで管理	同上

IAM DB認証では、パスワードの代わりに有効期間15分の認証トークンを使います。トークンはIAMが生成し、DBへの認証情報をアプリが持つ必要がありません。IAMロールが侵害された場合もロールを無効化するだけで被害を封じられます。

要件②への対応

案	方法	問題点
A	S3ゲートウェイVPCエンドポイントを使う	VPC内部のネットワークのみでS3と通信できる ✅
B	HTTPS強制	通信は暗号化されるが、インターネットは経由する

正解の組み合わせ

IAM DB認証＋ S3ゲートウェイVPCエンドポイント

要件①：IAM DB認証でパスワード自体をなくす
要件②：VPCエンドポイントでインターネットを経由しない

この問題のポイントは「静的なパスワードをそもそも持たない設計」にできるかどうかです。Secrets ManagerやParameter Storeは「パスワードを安全に管理する」サービスですが、IAM DB認証は「パスワード自体を不要にする」という発想の転換が求められます。

まとめ

AWS認証系サービスを「誰を認証するか」で整理するとスッキリします。

IAM：全ての基盤。AWSサービス同士の権限管理
IAM Identity Center：社員向けSSO
Cognito ユーザープール：アプリユーザーのログイン管理
Cognito IDプール：アプリユーザーへのAWS権限付与
Secrets Manager：シークレットの自動ローテーション管理
Parameter Store：設定値＋シークレットの低コスト管理

そして、最もセキュアな選択肢は「シークレットをそもそも持たない設計（IAM DB認証など）」です。SAPの試験でも実務でも、この視点を持っておくと判断が速くなります！

最後まで読んでいただきありがとうございました！

参考：公式ドキュメント