IAM とは AWS サービス間の認可をするための AWS ユーザーを管理するためのサービスだ。
このサービス自体はとっても地味だが、 AWS で何をするにも必ず関わってくるサービスなので、おさえておくと良い。

IAM 利用イメージ

IAM ベストプラクティス

CloudTrail 等で監査的なログを出力していても誰が何を使っているのか分からなくなってしまうため。

IAM グループを活用することで、例えば、インフラ専用グループ、アプリ専用グループ等、用途によって分けることが望ましい。
これは、規模が大きくなればなるほど運用が楽になるメリットがある。
また、小規模の場合でも IAM ユーザー単位に権限を割り振ると権限の付け間違い等を防ぐことができる。

権限は必要になったタイミングで付与するようにすることで事故を防げる。

使わなくなった権限は、定期的に削除する。
これも予期せぬ事故を防止するために実施する。

クレデンシャルはプログラムに埋め込まない。
うっかりパブリックなところにソースコードごとアップロードしてしまうと事故危険あり。
なので、そもそもクレデンシャルは、ロールに代替できないかを検討するのが良い。
AWS 間の利用であれば、大抵の場合は IAM ロールで賄える。