AWSにおけるアクセス制御の基礎知識｜AWS IAMの概要や主な機能

AWSのアクセス制御に関するIAMの基礎知識

AWSにおけるリソースのセキュリティを確保するために、アクセス制御は重要な要素といえます。特にAWS IAMはAWSのアクセス制御を実行するうえで基本的なサービスなので、ぜひその概要を把握しておきましょう。

AWS IAMとは

IAMとは「Identity and Access Management」を略した用語のことで、日本語に訳すと「認証とアクセスの管理」という意味になります。AWS IAMとは、AWSリソースへのアクセスを管理するためのウェブサービスです。
Amazon EC2やAmazon S3、Amazon RDSなど、さまざまなサービスで利用可能で、AWSのユーザーやグループごとに、リソースへの「許可」や「拒否」を設定できます。

また、AWS IAMには追加料金はかからないのが特徴で、利用したAWSサービスにかかる料金のみで利用可能です。

AWS IAMの要素

IAMユーザー：
IAMユーザーとはAWSを利用できる個々のアカウントを指します。
各IAMユーザーには、プログラムからのアクセスに使用するアクセスキー、およびAWSマネジメントコンソールへのログインに使用するユーザー名とパスワードを設定できます。必要に応じて、シークレットキーを生成して設定することも可能です。

IAMグループ：
IAMユーザーをまとめて管理できる仕組みがIAMグループです。グループごとに権限を設定できるため、個々のユーザーごとに設定する手間も省けるだけでなく、設定漏れによるセキュリティリスクを軽減することにもつながります。

IAMポリシー：
IAMポリシーとは、AWSサービス・リソース・ユーザーごとにどのような操作を許可するかしないか設定するものです。ポリシーの設定ができていないと、ユーザーごとのアクセス権限設定も適用（アタッチ）されません。IAMユーザーやグループ、後述のロールごとに設定できる「IDベースのポリシー」と、Amazon S3のバケットポリシーのような「リソースベースのポリシー」などの種類があります。

IAMロール：
IAMロールにはAmazon EC2やAmazon Lambdaが他のAWSサービスへアクセスするときに使用する「AWSサービスロール」があります。また、他のAWSアカウントからのアクセス管理をする「クロスアカウントアクセスロール」や一時的にアクセス許可ができるロールも存在します。

AWS IAMの主な機能

これまで紹介したIAMユーザー・グループ・ロール・ポリシーについて、主な機能を詳しく紹介します。

IAMユーザー/IAMグループの管理

IAMユーザーやIAMグループを利用することで、AWSリソースへのアクセス管理を細かくコントロール可能です。各ユーザーにはアクセス許可を付与でき、許可はJSON形式のポリシードキュメントによって定義されます。
このドキュメントでは「アクション」「リソース」「エフェクト（許可または拒否）」などを記述し、ポリシーの構造を明示します。例えば、Amazon S3バケット内の特定のオブジェクトに対する読み取りのみを許可するなど、柔軟な設計が可能です。

また、IAMユーザーはAWSマネジメントコンソールへのサインインを行い、Amazon EC2インスタンスの起動やデータ取得などを操作する主体（プリンシパル）として機能します。その結果、リクエストの発信元を特定してアクセス制御を行うことができます。

IAMロールの使用

IAMロールは一時的な認証情報を必要とする場面や、他のAWSサービス（Amazon EC2インスタンスやAmazon Lambda関数など）がリソースへアクセスする際に使用されます。アクセスキーを発行せずにアクセス許可を付与でき、より安全な運用が実現できるでしょう。

また、IAMロールを活用してVPCエンドポイントと連携することで、アクセス元の所有者や付与者の特定と追跡を行うことも可能です。

IAMポリシーの適用

IAMユーザーやグループ、ロールはデフォルトではAWSサービスへのアクセス権限を持っていません。権限のあるユーザーがIAMポリシーを適用することで、アクセス権限が付与されるのです。
ポリシーにはあらかじめAWSが用意した「AWS管理ポリシー」と、自分で作成できる「カスタマー管理ポリシー」があります。初めてのうちは、AWS管理ポリシーを使うことで設定の手間を減らすことができます。

さらに、IAMポリシーはタグやアクセス元の条件などを追加して、「プロジェクトAというタグが付いたAmazon EC2インスタンスだけ操作を許可する」といった、より細かい制御も可能です。

AWS IAMのベストプラクティス

AWSで詳細なアクセス制御が可能なIAMですが、具体的にどのような場面でどのように活用するべきなのでしょうか。以下で、セキュリティ対策の観点からIAMのベストプラクティスの一部をご紹介します。

設定する権限は最小限にする

まず権限を細かく設定することがアクセス制御の基本です。セキュリティリスクを最小限に抑えるため、例えばユーザーやロールには、必要最小限の権限のみを付与する意識をつけておきましょう。
なお、AWSにはIAMユーザーのほか、ルートユーザーというルート権限のアカウントがあります。ルートユーザーはすべてのサービスを操作できるため極力使わず、IAMを使用することがセキュリティ上重要です。

多要素認証（MFA）を行う

ユーザー名とパスワードによるログインに加えて、仮想MFAアプリや物理デバイスを用いた2段階目の認証（多要素認証：MFA）を設定することで、AWSアカウントのセキュリティを強化できます。MFAは、パスワードリスト型攻撃や不正ログインのリスクを軽減する手段として有効です。
MFAデバイスとしては、「Google Authenticator」や「Authy」といったスマートフォンアプリのほか、「YubiKey」などのハードウェアトークンも利用可能です。MFAの設定や管理はIAMコンソールから行えます。

モニタリングをする

操作ログのモニタリングも安全性を高めるために重要です。AWS CloudTrailを使えば、IAMユーザーごとの操作ログやAPIコールも保存することができます。情報漏洩やトラブルがあった際には、AWS CloudTrailの情報を確認することで原因の特定をスムーズに行えます。
また、IAM Access Analyzerを使用すれば、リソースのアクセスを分析することができます。IAMポリシー検証に活用しましょう。

アクセスキーを使わない

アクセスキーがあればCLIやスクリプトでの操作が便利になるメリットがあります。しかし、アクセスキーは期限のないことやGit経由での情報漏洩リスクが高いといったデメリットもあります。
ルートアカウントや一時的に関わるユーザーはリスクが特に高いため、可能な限りアクセスキーではなくIAMロールでのアクセス制御を行うようにしましょう。

そのほか、IAMポリシーの条件を指定することや、定期的な認証情報の削除もアクセス制御のポイントです。

IAMによるAWSのアクセス制御はセキュリティの基本

AWSのアクセス制御ではIAMを用いることで、IAMユーザーやロールごとにアクセス許可をすることができます。これにより情報漏洩対策や不正アクセス対策ができるので、システム全体の安全性向上につながります。
さらにIAMポリシーの利用によって、AWSリソースごとにきめ細かい操作制御を行うことができ、データ保護やプロジェクトの効率化にも役立つでしょう。
IAMはAWSにおけるセキュリティ設計の基本であり、ネットワーク構成やサービス利用に応じた柔軟なアクセス管理を行うためのポイントです。
AWS環境を安全かつ効果的に運用するためには、IAMを正しく理解し、活用していくことが欠かせません。
サーバーワークスでは、オンプレミス環境からのAWS移行、システム構築、最適化を支援するサービスを展開しています。

オンプレミスからのAWS移行、システム構築、最適化を支援

お客様の組織やビジネス環境に合わせた最適なセキュリティソリューションも提案可能ですので、アクセス制御に課題を感じている方は、ぜひ一度ご相談ください。