【AWS資格】　IAM（ユーザ＆アクセス管理）

IAMとは、AWS Identity and Access Management(IAM)といい、安全にAWS操作を実施するための認証・認可の仕組みを言います。

ユーザ・グループ・ポリシー・ロール

ユーザ

ルートアカウントとIAMユーザがあります。

ルートアカウントは初期設定で使用したメールアドレスのことです。

ルートアカウントでは全ての操作を行うことができるため、

日常の操作にはルートアカウントは使用せず、IAMユーザを使用するようにしてください。

ルートアカウントにしかできないこと

1. AWSルートアカウントのメールアドレスやパスワードの変更
2. IAMユーザの課金情報へのアクセスに関するactive/deactive
3. 他のAWSアカウントへのRoute53のドメイン登録の移行
4. AWSサービス（サポート等）のキャンセル
5. AWSアカウントの停止
6. 一括請求 (コンソリデーティッドビリング) の処理
7. 脆弱性診断フォームの提出
8. 逆引きDNS申請

グループ

グループとして権限をまとめて設定された単位のこと。

グループには複数のIAMユーザが設定されます。

ポリシー

AWSの各種リソースに対するアクセスの可否を設定します。

JSON形式で設定します。

• Effect
  • Allow⇨許可
  • Deny⇨拒否
• Action
  • 対象のAWSサービス　例）S3：Get
• Resource
  • 対象のAWSリソース
    ARNで記述
• Condition
  • アクセス制御が有効となる条件

ロール

AWSの各種リソースに対するアクセス可否（IAMポリシー）を設定します。

IAMロールは、EC2などに割り当てることができ、IAMロールを割り当てられたEC2上の

プログラムは、アクセスキーとシークレットキーがなくともIAMロールに許可されている

AWSのリソースにアクセスできます。

IAM設計

IAMユーザやIAMグループを新たに作成した際、最初は何も権限が与えられていないため、

アクセス権を割り当てていきます。

その際には必要最低限のアクセス権限を割り当てるようにします。

アクセス許可と拒否のIAMポリシーが相反する場合、拒否のIAMポリシーが優先されます。

IAMユーザ　x　IAMグループ　x　IAMポリシーの関係性

IAMロールとIAMポリシーの関係性

IAMロールの権限移譲

1. 現在利用しているアカウントAで別アカウントBへの権限移譲用のロールを設定します
   ロール作成時に別のAWSアカウントで作成する
2. アカウントB内で権限移譲用ロールをポリシーとして設定します
   JSONを直接編集する
   既存のポリシーを参考にする
   • Resource:AのARN
   • Action
     • sts:AssumeRole
3. 項番２のポリシーをIAMユーザに設定します
   既存のポリシーを直接アタッチ
4. 項番３のIAMユーザを利用してIAMロールをスイッチすることでアカウントAにアクセスできます

次のサービス「VPC」はこちら

あわせて読みたい

【AWS資格】　VPC（Virtual Private Cloud） VPCはVirtual Private Cloudの略です。 VPCはAWSクラウドのネットワークからユーザ専用の仮想ネットワーク領域のことを言います。 【VPCの概要】 任意のIPアドレス範囲…

資格取得についての概要はこちら

あわせて読みたい

【AWS資格】試験突破への１２個の主要サービス一挙紹介 AWS(Amazon Web Service）の認定試験を受けようと思います。 わたくし、システムエンジニアをやってまして、クラウドの技術を使ったシステム構築を 段々仕事としてやる…