ポリシーを理解する

この単元で学ぶこと

• ポリシー文の要素を読み取る
• 管理方式と配置先を区別する
• 限定した条件で許可・拒否を判断する

本文解説

1. 規則としてのポリシー IAMポリシーはAWS要求の許可や拒否を定義する文書です。ユーザーのパスワードそのものではありません。誰が要求したかを確認した後、その要求に適用される複数の規則を使って操作可否を判断します。

2. EffectとAction EffectはAllowかDenyを表し、Actionはs3:GetObjectのような操作を示します。S3の読取りを許すことと書込みを許すことは別です。s3:*のような広い指定を、単に書くのが短いという理由で使わないようにします。

3. Resource Resourceは対象資源を示します。GetObjectであれば対象オブジェクトのARNを絞るなど、操作が対応する資源型を確認します。s3:ListBucketとGetObjectは異なる操作で、対象ARNも同じ形式でよいとは限りません。

4. Condition Conditionは、対応する条件キーを用いて要求をさらに限定します。例えば特定の経路や認証条件などを評価します。条件を記しても、それだけで操作のAllowが作られるわけではありません。各サービスの対応キーを確認します。

5. 管理ポリシー AWS管理ポリシーはAWSが内容を管理します。カスタマー管理ポリシーは利用者が作成・更新し、複数のユーザー・グループ・ロールへ再利用できます。一か所の更新が複数の関連先に影響するため、変更前に対象を調べます。

6. インライン インラインポリシーは特定のIAM IDに埋め込んで管理します。同じ文書を複数箇所へ複製すると変更差分を管理しなければなりません。共通規則を中央で再利用する要件と、一つのIDへ密接に結び付ける要件を区別します。

7. 許可と拒否 別の許可経路がない基本例では、要求にAllowがなければ暗黙的拒否です。適用される明示的DenyはAllowより優先します。ただし最終判定は資源側や組織側のポリシー等も関係するため、一つの文書のAllowだけで全環境の成功を断定しません。

8. 変更の例 監査ロールへreports/の読取りだけを許可するなら、対応するActionとResourceを指定します。更新や削除まで許していないか、別のポリシーで広い許可が残らないか確認します。JSONとして正しいことと、業務に必要な権限だけであることは別の検証です。

図解

重要ポイント

• Effect・Action・Resource・Conditionの役割を読む。
• 管理ポリシーの再利用とインラインの結付きを区別する。
• 一つのAllowだけで最終判定を断定しない。

間違えやすい点

• ポリシーを認証情報と取り違える。
• 条件だけで操作権限が付くと考える。
• AWS管理ポリシーを利用者が直接編集できると思う。

用語解説

Action

対象とするAWS操作を示す要素。

Resource

要求先の資源を示す要素。

Condition

要求を限定する条件を記す要素。

関連教材

• IAMユーザー・グループ・ロール・ポリシーの違いと使い分け
• ロールを理解する
• IAMユーザー・グループ・ロール・ポリシーのシナリオ判断
• グループを理解する
• 最小権限とMFAを理解する