はじめに

AWSのコンソールで各サービスの設定値を確認したいといった際に、コンソールを操作していると、誤ってリソースを削除してしまったり変更してしまうリスクがあると思います。そういった場合に設定値参照時は読み取り権限、実際に設定値を変更したり、リソースを作成・削除したいときはAdmin権限のように、権限を用途によって使い分けられると安全ですよね？
今回はそういった場合の権限の使い分けの方法を紹介します。

スイッチロール（ロールの切り替え）

スイッチロールでは、普段は「ReadOnlyAccess」ポリシーを付与、設定値変更やリソース作成・削除時に「AdministratorAccess」ポリシーに切り替えるといったことを行うことができます。

実際にやってみた

■検証用作成リソース

リソース名	説明
IAMユーザー	検証を行うための「ReadOnlyAccess」ポリシーのみ付与したIAMユーザー
S3バケット	スイッチロール後に作成可能になるS3バケット
IAMロール	「AdministratorAccess」ポリシーを付与した、スイッチロール用のIAMロール

■検証の流れ

1.検証用IAMユーザー作成
2.スイッチロール用IAMロール作成
3.現状の権限でのS3バケット作成
4.スイッチロール後のS3バケット作成

1.検証用IAMユーザー作成

まずは、検証を行うためのIAMユーザーを作成します。コンソールアクセスを有効にし、「ReadOnlyAccess」のみ付与したIAMユーザーを作成します。
※IAMユーザーに権限を付与するときにベストプラクティスとしては、IAMグループ経由での権限付与が推奨されていますが、今回は検証のため、直接IAMポリシーをアタッチします。

2.スイッチロール用IAMロール作成

続いて、「AdministratorAccess」ポリシーを付与した、スイッチロール用のIAMロールを作成します。また、信頼ポリシーには1で作成したIAMユーザーのみこのロールを使用できるように作成したIAMユーザーのarnを指定します。

3.現状の権限でのS3バケット作成

ここまでで検証の準備は完了したので、検証を行っていきます。まず、現在の「ReadOnlyAccess」のみが付与された状態のIAMユーザーにサインインし、S3バケットの作成を行っていきます。

このようにS3バケットを作成しようとすると権限エラーになり、S3バケットを作成することができません。

4.スイッチロール後のS3バケット作成

続いて先ほど2で作成したスイッチロール用のIAMロールにスイッチして、同様にS3バケットの作成を行っていきます。

スイッチロールを行ったら3と同様にS3バケットを作成します。

S3バケットを作成することができました！

まとめ

使用する権限を作業の用途によって、分けることで誤ってリソースを削除したり、変更してしまう可能性を下げることができます。
一度スイッチロールを挟むことによって、「リソース削除・変更ができてしまう」という意識をより強くもって作業することができるので、作業ミスも減るでしょう。