最小権限とMFAを理解する

社員本人であることを確かめても、その社員が全顧客データを削除してよいとは限りません。MFAは本人確認を強め、最小権限はできる操作を絞ります。二つを組み合わせる理由を、閲覧だけを行う担当者とファイルを読むアプリの例で学びます。

この単元で学ぶこと

認証と認可を区別しMFAと最小権限の役割を説明できる
操作・リソース・条件から必要最小限の許可を考えられる
人とアプリで一時認証情報を利用する基本方針を説明できる

本文解説

本人確認と操作の許可認証は「誰か」を確かめること、認可は「何をしてよいか」を決めることです。社員証で入館者を確認しても、その人がすべての部屋へ入れるわけではないのと同じです。AWSではサインインの認証を強める対策と、ポリシーで操作を制限する対策を別に設計します。

MFAで異なる要素を組み合わせるパスワードは本人が知っている情報です。MFAでは、認証用の機器など本人が所持するものを使う仕組みを組み合わせます。パスワードが漏れても、それだけではサインインできないようにするのが目的です。パスワードと秘密の質問は、どちらも知識に基づくため「種類の異なる要素を二つ使った」とは限りません。

MFAで増えないもの MFAを設定したからといって、その主体の権限が自動的に狭くなるわけではありません。管理者権限のある人がMFAで本人確認を終えれば、引き続き強い権限を持ちます。誤操作の影響を抑えるには権限も絞ります。またIAMユーザーのコンソール用MFAを有効化しただけで、既存の長期アクセスキーによる全API呼出しが自動的にMFA必須になると考えてはいけません。

最小権限を三つの軸で考える必要な操作、対象リソース、適用条件を具体化します。例えば担当アプリが一つのS3バケット内の特定範囲を読むだけなら、無関係なバケットや削除・変更まで許可する必要はありません。実際のポリシーでは利用するAPIとそのリソース表記を確認し、必要な一覧取得なども含めて業務を成立させます。

広いポリシーを完成形にしない AWS管理ポリシーは共通用途に便利ですが、自社の特定作業に対する最小権限とは限りません。サービス全体の読取り権限で足りることと、一つの帳票だけ読めればよいことでは範囲が違います。利用状況と業務要件を調べ、不要な操作や対象を減らします。

人のアクセスは集中管理と一時権限社員はIAM Identity Centerや外部のID基盤との連携を使い、職務に合ったアクセスを管理する方法を検討します。人ごと・アカウントごとに長期の秘密情報を配り続けるより、IDと権限を集中管理し、一時認証情報を使う方針が推奨されます。MFAは利用するID基盤に合わせて設定します。

アプリはロールを使う EC2上のアプリがS3を読む例では、必要な許可を持つIAMロールを利用し、一時認証情報で呼び出す方法を使います。ソースコードに人の長期アクセスキーを書き込む必要を減らせます。ただしロールに全操作を許可すれば最小権限ではないため、認証情報の扱いと許可範囲を両方確認します。

例題と見直し監査担当はログの閲覧だけが必要です。MFAを要求した上で、監査対象のログを読むための権限に絞り、削除や設定変更は許可しません。異動や業務終了で不要になった許可は見直します。変更後は必要な閲覧が成功することと、不要な削除が拒否されることを確認して、業務と制限の両方を保ちます。

図解

安全なアクセスの二つの判断 — 本人であることと、業務上許可すべき範囲は別の判断。認証強化だけで過剰権限は解消しない。

重要ポイント

MFAは本人確認、最小権限は許す操作の限定。
操作・対象リソース・条件を業務要件へ合わせる。
コンソールMFAだけで全長期キーAPIが自動保護されるとは限らない。
社員の集中管理と、アプリのIAMロール利用で長期秘密情報の配布を減らす。

間違えやすい点

MFAを権限削減の代わりにしない。
読取り専用なら全リソースへ許可してよいと決め付けない。
一時認証情報でも権限が無制限なら影響範囲が広いことに注意する。

用語解説

認証: アクセスする主体が誰であるかを確認すること。パスワードやMFAなどを利用する。
認可: 認証された主体などに、どのリソースのどの操作を許すか判断すること。
最小権限: 業務に必要な操作・対象・条件に限定して権限を与える原則。何もできなくすることではない。
MFA（多要素認証）: 知識・所持・生体など異なる種類の要素を組み合わせて本人確認を強める仕組み。パスワードを二つ入力するだけとは異なる。
一時認証情報: 有効期限を持つ認証情報。IAMロールなどを通して取得し、長期的な秘密情報の配布を減らせる。
IAMポリシー: 許可または拒否する操作、対象リソース、条件などを記述し、アクセス制御に用いる文書。

参考資料

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。