AWS IAMとは何ですか？

Question

AWS IAMとは何ですか？

Accepted Answer

**IAM**（Identity and Access Management）は、AWSで**誰が何をできるか**を制御し、ユーザー、グループ、ロール、権限を管理します。AWSセキュリティの基盤です。すべてのアクションはIAMを通じて認可されるため、理解することが不可欠です。

## IAMが管理するもの

```text
IAM controls AUTHENTICATION (who you are) and AUTHORIZATION (what you can do):
  USERS    → individual identities (people or applications) with credentials
  GROUPS   → collections of users (assign permissions to a group → all its users get them)
  ROLES    → identities ASSUMED temporarily (by users, services, or AWS resources)
             — no permanent credentials; key for services/cross-account access
  POLICIES → JSON documents defining PERMISSIONS (what actions on what resources)
```

## ポリシー — 権限の定義

```json
{
  "Effect": "Allow",
  "Action": ["s3:GetObject", "s3:PutObject"],
  "Resource": "arn:aws:s3:::my-bucket/*"
}
// → allows getting/putting objects in my-bucket (and nothing else)
```

ポリシー（JSON）は、**どのアクション**が**どのリソース**に対して許可/拒否されるか**を指定し、ユーザー、グループ、またはロールにアタッチして権限を付与します。

## ロール — 一時的な認証情報（非常に重要）

```text
ROLES grant temporary permissions without long-lived credentials:
  → an EC2 instance assumes a role → its app accesses S3 (no embedded keys!)
  → a Lambda function assumes a role for its permissions
  → cross-account access; federated/SSO access
→ Roles avoid hardcoding credentials — a security best practice.
```

## ベストプラクティス

```text
✓ LEAST PRIVILEGE — grant only the permissions actually needed (not broad/admin)
✓ Use ROLES for applications/services (not embedded access keys)
✓ Enable MFA; protect the root account (don't use it for daily work)
✓ Use groups for permission management; rotate credentials; audit access
```

## なぜ重要なのか

IAMの理解が不可欠である理由は、それがAWSセキュリティの基盤だからです。AWSのすべてのアクションはIAMを通じて認可されるため、AWSを安全に使用するための基本的で必須の知識です。

IAMは、その主要なコンポーネント（**ユーザー**（認証情報を持つアイデンティティ）、**グループ**（権限を集合的に管理するため）、**ロール**（一時的に引き受けるアイデンティティ）、および**ポリシー**（権限を定義するJSONドキュメント））を通じて、**誰が何をできるか**を制御します。

**ポリシー**（どのアクションがどのリソースに対して許可されるかを指定）の理解は、権限を正しく付与し理解するために必要です。

**ロール**の理解は特に重要です。ロールは、**長期的なキーを使用しない一時的な認証情報**を提供し、EC2インスタンス、Lambda関数、およびその他のサービスがアクセスキーを埋め込むことなく、AWSリソースに安全にアクセスできるようにします。これは、ハードコードされた認証情報の深刻なリスクを回避する重要なセキュリティベストプラクティスです。

**ベストプラクティス**（特に**最小権限**（実際に必要な権限のみを付与し、広範な管理者アクセスを付与しないこと、侵害の被害範囲を制限すること）、アプリケーション用にロールを使用すること、MFAを有効にすること、ルートアカウントを保護すること）の理解は、AWSセキュリティにとって不可欠です。IAMの設定ミス（過度に広い権限、流出した認証情報）はセキュリティインシデントの一般的な原因です。

IAMはすべてのAWSアクセスへのゲートキーパーであり、正しく設定することがセキュリティの基盤です（一方、誤って設定すると深刻な侵害が発生します）。ユーザー、ロール、ポリシー、最小権限などのベストプラクティスを理解することは、AWSを安全に使用するために不可欠です。IAMの理解は、不可欠で基本的なAWSの知識です。AWSを安全に使用し、実際のセキュリティインシデントにつながるアクセス制御の誤りを回避するために、すべてのAWSユーザーが理解しなければならない重要なセキュリティトピックです。