Table of Contents
はじめに
FundastA Inc.の鈴木です。
現在、AWS ソリューションアーキテクトアソシエイト試験合格に向け AWS について勉強中です。
今回は IAM について勉強したことを備忘録として、記述していきます。
IAM とは
アカウント管理を行い、AWS 利用者認証の実施やアクセスポリシーの設定を行う。
※アクセスポリシーとは
アクセス制御を行う個人または、グループに設定：グループごとの管理や個人アカウントの作成するための機能
ルートユーザー
- AWS アカウント作成時に作られる ID アカウント
- 全ての AWS サービスとリソースを使用できる権限を有するユーザー
- ⽇常的なタスクはルートユーザーを使用しないことが強く推奨されている。
※アカウント登録時以外は使わないのが鉄則、基本は IAM ユーザーでアクセスする。
ルートユーザーの実施権限
- AWS ルートアカウントのメールアドレスやパスワードの変更
- IAM ユーザーの課⾦情報へのアクセスに関するactivate/deactivate
- 他の AWS アカウントへの Route53 のドメイン登録の移行
- CloudFront のキーペアの作成
- AWS サービス（サポート等）のキャンセル
- AWS アカウントの停⽌
- コンソリデイテッドビリングの設定
- 脆弱性診断フォームの提出
- 逆引き DNS 申請
IAM ポリシー
Json 形式で設定されているアクセス許可を設定したり、
ユーザーなどへの AWS リソースへのアクセス権限を付与します。
ポリシータイプ
- SCP ：AmazonOrganization で使用されるポリシー
- ACL ：ネットワーク ACL でネットワーク制御を行う。
- セッションポリシー：一時的なアクセス許可を上げるポリシー
IAM ユーザー
ルートアカウント IAM ではなく、日常タスクはルートユーザーを使用しないことが強く推奨される。
設定上限があり、1 アカウントで 5000 ユーザーまで作成可能
IAM ロール
- AWS リソースに対してアクセス権限をロールとして付与できる。（ユーザーに付与されるものではない）
-
権限移譲一時的な権限も可能
IAM ユーザーアクティビティ
記録ツール
-
IAM アクセスアナライザー
-
不正に使用されていないかを確認する。 S3 外部エンティティで共有されている S3 バケットやIAMロールなど分析
-
-
AccessAdvisor の ServiceLastAccessedReport
-
IAM エンティティが最後にアクセスした日付表示
-
-
CredentialReport
-
IAM 認証情報のレポートファイル
-
-
AWSConfig
-
IAM の変更履歴を通知してくれる機能
-
-
AWSCloudTrail
-
AWS インフラストラクチャ全体で、アカウントアクティビティログを取得
-
ベストプラクティス
AWS 公式ドキュメントが定める AWS リソースセキュリティ確保のための推奨事項です。
下記サイトに記載されているベストプラクティスをイメージしておくと、試験の時に解答を絞り込むことができるかもしれません。
出典：IAM でのセキュリティのベストプラクティス
AWSOrganizations
複数の AWS アカウントを利用している場合に統合管理を実施することができる。
統合管理を実施できるのは、マスターアカウントにおいて実施できる。それ以外は実施できない。
やれること
- 一括請求
- 一元管理
- 新規アカウント作成の自動化
コストメリット
ユーザがサービスをより多く使用すればするほど、低価格となるボリューム価格が適用されて、コスト削減される。
おわり
IAM を勉強して、ユーザーの管理によってチーム別やユーザーごとでのアクセス許可を付与することで、間違ってデータを消去するなどといったミスを防ぐことができるので、管理が楽になるなと感じました。
またハンズオンで触ってみると理解が深まるので、触ってみるとよいかもしれません。
