ルートユーザーの安全な扱い方を理解する

AWSアカウントを作成したときのルートユーザーは非常に強い権限を持ちます。日々のEC2起動やログ閲覧へ使う主体と分け、認証情報、復旧用連絡先、利用記録を保護する必要があります。単一アカウントとOrganizationsのメンバー管理の違いも確認します。

この単元で学ぶこと

AWSアカウントrootと日常の管理用主体を区別できる
root認証情報と復旧経路の保護策を説明できる
Organizationsの集中管理を全アカウントへ一般化せず判断できる

本文解説

rootはアカウントの強い入口 AWSアカウントのルートユーザーは、アカウントに結び付いた特権的な主体です。EC2のLinux内で使うrootとは別物で、AWSサービスやアカウントの操作に関わります。日常の作業は適切な管理用ロールなどへ分け、rootを使うのは、その資格情報を必要とする作業に限定します。

日常運用を分ける理由毎日同じ強い入口を使うと、その認証情報の漏えいや誤操作が大きな影響につながります。社員は個別に識別できるアクセスを使い、職務に必要な範囲へ権限を限定します。IAM Identity Centerなどによる集中管理や一時認証情報の利用を検討し、全員でrootのパスワードを共有する方法を避けます。

パスワードとMFAを守る root認証情報を保持する場合は、強い固有のパスワードとMFAで保護します。登録したMFA機器が使えない場合にも備え、認可された担当が安全に回復できる手順を持ちます。複数のMFA機器を利用する場合も、所在と利用者を管理し、単に配布範囲を広げる方法にしないことが大切です。

rootの長期アクセスキーを配らないアプリや通常のCLI操作のためにrootの長期アクセスキーを作ることは避けます。アプリには必要な許可を付けたIAMロールと一時認証情報を用意します。rootのキーは漏えい時の影響が大きく、コードへの埋込みやチーム間共有に適しません。既存のrootキーがあるなら利用状況を調べ、安全に除去する計画を立てます。

復旧経路も同じ強さで守る rootのパスワードを守っても、パスワードの回復に使うメールや連絡先へ第三者がアクセスできれば問題です。企業が継続管理できる連絡先を使い、担当者の退職や不在でも復旧できるようにします。また認証情報を、そのアカウントへ入れないと取り出せない場所だけに保存すると、障害時に循環した依存になります。

必要な利用を記録して確かめる rootが必要な作業を行う場合、実施理由、担当、実施時間、操作結果を記録し、CloudTrailなどの証跡と照合します。可能な範囲で複数人による承認や確認を取り入れます。通知が届くだけでは管理が終わらないため、承認した利用か、想定外の利用かを確認する手順も決めます。

Organizationsのメンバーアカウント複数アカウントの組織では、メンバーアカウントのroot認証情報を取り除き、必要な特権作業を集中管理する方法があります。この場合、各メンバーにrootパスワードやMFA機器を必ず保持するという従来の運用をそのまま要求しません。一方、管理アカウントのroot保護は引き続き必要です。対象アカウントと利用方式を確認します。

例題：EC2起動のためにrootを共有する提案開発者全員へrootの認証情報を渡す必要はありません。EC2起動など必要な操作を与えた日常用のアクセスを用意し、誰の操作か追えるようにします。rootの利用記録が少ないことだけでなく、通常業務がrootなしで成立することを確認します。rootを使うべき作業の具体的な一覧は変更される場合があるため、実作業前に公式資料で確認します。

図解

rootを日常の操作から分ける — 日常用の権限とroot専用の作業を分ける。rootの認証情報を保持する方式か、組織の集中管理方式かも確認する。

重要ポイント

AWSアカウントrootは日常利用せず、必要な特権作業へ限定する。
root認証情報を保持する場合はパスワード・MFA・復旧経路を保護する。
通常のアプリやCLIへrootの長期キーを配らない。
Organizationsメンバーの集中root管理と管理アカウントの保護を区別する。

間違えやすい点

AWSアカウントrootとEC2内のLinux rootを混同しない。
MFAを有効にしたのでrootを日常共有してよいと判断しない。
メンバーのroot認証情報除去を管理アカウントへそのまま当てはめない。

用語解説

AWSアカウントのルートユーザー: AWSアカウントに結び付いた特権的な主体。日常の運用では使わず、rootが必要な作業を特定して扱う。EC2内のLinux rootとは別である。
管理用の主体: 日常の管理作業に利用するIAMロールなど。職務に必要な権限を与え、rootの日常利用を避ける。
復旧経路: 認証情報を失った場合にアカウントへのアクセスを回復する手段。登録メール・電話なども保護対象となる。
rootアクセスの集中管理: AWS Organizationsのメンバーアカウントについてroot認証情報を除去し、必要な特権作業を集中管理する仕組み。管理アカウントのroot保護とは区別する。
監査証跡: 誰がいつ何をしたかを調べるための記録。rootの利用記録とその利用が承認された作業かを照合する。

参考資料

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。