AWSセキュリティ

AWS IAMとは

AWSリソースへのアクセスを安全に制御するサービス。ユーザー・グループ・ロール・ポリシーの4つの主要概念で権限を管理する。ポリシーはJSON形式で記述し、Effect・Action・Resource・Conditionで精密なアクセス制御を実現する。

IAMロールは一時的な認証情報（STS AssumeRole）を使い、EC2・Lambda・ECSタスク・クロスアカウントアクセス等に権限を付与する。最小権限の原則（Least Privilege）が設計の基本。

試験での問われ方

SAAでは「クロスアカウントアクセス」「EC2からS3へのアクセス」「IAMポリシーの評価順序（明示的Denyが最優先）」が頻出。IAMユーザーではなくロールを使う場面の判断が問われる。

境界ポリシー（Permissions Boundary）・SCPとIAMポリシーの評価順序・ロールの信頼ポリシー（Who can assume）と権限ポリシー（What can do）の区別はSAP・SCSの重要トピック。

長期的なアクセスキー（IAMユーザー）の使用を避け、IAMロールと一時認証情報を使うセキュリティベストプラクティスが問われる。MFAの強制もCondition要素で実装する。