【AWS】IAMロールとIAMポリシーの基本を理解したい

✔  IAMロールとは

AWSのIAMロール（Identity and Access Management ロール）は、AWS（Amazon Web Services）クラウドプラットフォームでアクセス制御を管理するための重要なリソースである。IAMロールは、AWSサービス、AWSリソース、または外部アプリケーションとの間でセキュリティできる方法を提供する。以下はIAMロールの主要な特徴と用途。

• アクセス制御: IAMロールは、アクセスポリシーを使用して、どのAWSリソースやサービスにアクセスできるかを制御する。これにより、セキュリティの厳密な制御が実現され、権限が必要なユーザーやアプリケーションにのみアクセスが許可される。

• 一時的な認証情報: IAMロールは、一時的なセキュリティ認証情報を生成できる。これにより、ユーザーまたはアプリケーションが必要な時にだけアクセスできるようになる。認証情報の一時性はセキュリティを向上させ、長期間の有効性を持たないため、潜在的なリスクが軽減される。

• 信頼性の向上: IAMロールはAWSリソース間での安全なアクセスを確保するために使用される。例えば、EC2インスタンスがS3バケットにアクセスする必要がある場合、IAMロールを使用してそのアクセスを許可し、EC2インスタンスには直接認証情報を提供せずにセキュリティを向上させる。

• クロスアカウントアクセス: IAMロールを使用すると、異なるAWSアカウント間でのアクセスを容易に設定できる。これは、AWSアカウント間でリソースを共有したり、クロスアカウントのアクセスを制御したりするために役立つ。

• パフォーマンスとスケーラビリティ: IAMロールを使用することで、アプリケーションやサービスが自動的に必要なアクセス権を取得し、スケーラビリティを向上させることができる。

IAMロールは、セキュアなアクセス管理とAWSリソース間の信頼性の確保に不可欠なツールである。適切に設定されたIAMロールを使用することで、AWS環境全体のセキュリティを向上させることができる。

✔  IAMポリシーとは

AWSのIAMポリシー（Identity and Access Management ポリシー）は、AWSのアクセス管理システムにおいて、ユーザーやリソースに対するアクセス権限を定義するルールセットである。IAMポリシーは、AWSのセキュリティモデルを構築し、AWSリソースへのアクセスを制御するために使用される。以下はIAMポリシーの主要な特徴と機能。

• アクセス制御: IAMポリシーは、AWSリソースやサービスに対して、どのユーザー、グループ、またはIAMロールが、どのアクションを実行できるかを定義する。これにより、セキュリティを確保し、必要な権限を持つユーザーやエンティティにのみアクセスを許可できる。

• JSON形式: IAMポリシーは、JSON（JavaScript Object Notation）形式で記述される。JSONは構造化されたテキストデータであるため、ポリシーを明示的に定義できる。

• 明示的なアクセス許可: IAMポリシーは、特定のAWSサービス、リソース、およびアクションに対するアクセス許可を明示的に指定する。ポリシーの中で許可されたアクションが記述され、それ以外のアクションは自動的に拒否される。

• ポリシーコンポジション: ポリシーは、複数のポリシーを組み合わせてユーザー、グループ、またはロールにアタッチできる。これにより、異なるポリシーのセットを再利用して、アクセス許可を効率的に管理できる。

• ポリシーのバージョン管理: IAMポリシーはバージョン管理がサポートされており、変更履歴を追跡できる。これにより、過去のポリシーバージョンに戻すことができる。

IAMポリシーはAWSのセキュリティモデルの中で重要な要素であり、適切に設定されたポリシーはセキュリティの向上とリソースへの正確なアクセス管理を実現する。ユーザー、グループ、IAMロールに対して適切なポリシーをアタッチすることで、AWS環境全体のセキュリティを強化できる。

✔  IAMロールとIAMポリシーの関係

IAMロール（Identity and Access Management ロール）とIAMポリシー（Identity and Access Management ポリシー）は、AWSのアクセス管理において密接に関連しているが、異なる概念であり、異なる役割を果たす。

• IAMロール:

• IAMロールはAWSリソースまたはAWSサービスに一時的なアクセス権を委任するために使用される。

• 主にAWSリソース（例: EC2インスタンス、Lambda関数、ECSタスクなど）が、他のAWSリソースやサービスにアクセスするために使用する。

• ロールは一時的な認証情報（一時的なセキュリティトークン）を生成し、そのトークンを使用してアクセスを行う。

• 通常、IAMユーザーやグループに直接アタッチされるのではなく、リソースに対するアクセスを許可するポリシーを持つロールが作成される。

• IAMポリシー:

• IAMポリシーは、アクセス許可のセットを定義し、それをユーザー、グループ、ロールにアタッチするために使用される。

• ポリシーはJSON形式で記述され、どのAWSサービスやリソースに対するアクセスが許可または拒否されるかを定義する。

• ポリシーは再利用可能で、同じポリシーを複数のユーザーやロールにアタッチすることができる。

• ポリシーはユーザーに直接アタッチする場合、グループにアタッチする場合、またはロールにアタッチする場合に使用される。

IAMロールとIAMポリシーの関係は、ロールがポリシーを持つことによって確立される。IAMロールは、アクセス許可を持つためにポリシーをアタッチすることがある。これにより、ロールが他のリソースやサービスに対してアクセスできる範囲が定義される。ポリシーがロールにアタッチされた場合、そのロールを使用するAWSリソースやサービスは、ポリシーで定義されたアクセス許可を継承する。

簡単に言えば、IAMポリシーはアクセス許可のルールを定義し、IAMロールはそのルールをアクセスするための一時的な認証情報を提供する。両方の要素が協力して、セキュリティとアクセス管理を実現する。