こんにちは！インフラやクラウドの世界に足を踏み入れた皆さん、ようこそ。
今日は、クラウドセキュリティの「基本中の基本」でありながら、多くのエンジニアが頭を悩ませる「AWS IAM（アイアム）の権限管理」についてお話しします。
「IAMって難しそう…」「とりあえず AdministratorAccess をつけておけば動くからいいや」なんて思っていませんか？実はそれ、「家の玄関の鍵を、近所の人全員に配っている」のと同じくらい危険な状態なんです。
今日は、泥棒（攻撃者）に付け入る隙を与えないための「最小権限の原則」を、一緒に優しく紐解いていきましょう。
—
1. なぜ「全部入り」の鍵は危ないのか？
想像してみてください。あなたは自分の家の鍵を作るとき、「玄関、勝手口、窓、屋根裏、金庫」のすべてを開けられる「マスターキー」を、遊びに来た友人に渡しますか？渡しませんよね。
AWSのIAMポリシーも全く同じです。
"Action": "*" や "Resource": "*" という記述は、まさに「すべての扉を開け、何でもできる」マスターキーをプログラムや人間に持たせているのと同じです。
もし、そのプログラムが少しでもセキュリティの穴（脆弱性）を突かれて乗っ取られたら、攻撃者はそのマスターキーを使って、あなたのクラウド環境にあるサーバーをすべて停止させたり、顧客データを盗み出したりできてしまいます。これが「権限が大きすぎることによる被害」の正体です。
—
2. 「最小権限の原則 (PoLP)」で泥棒を締め出す
セキュリティの専門用語で「最小権限の原則（Principle of Least Privilege：PoLP）」という言葉があります。これは、「その人が仕事をするために必要な、最小限の鍵だけを渡す」という防犯の鉄則です。
例えば、「S3という倉庫にあるファイルを読むだけ」の担当者には、「読み取り（Get）」の許可だけを与え、「削除（Delete）」や「書き込み（Put）」の許可は渡さない。これが正しい防犯です。
やってみよう！厳密なポリシーの書き方
例えば、「特定のS3バケットのデータだけを読み取れる」権限は、以下のように記述します。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowReadAccessToSpecificBucket",
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:ListBucket"
],
"Resource": [
"arn:aws:s3:::my-special-data-bucket", // バケット本体
"arn:aws:s3:::my-special-data-bucket/*" // バケットの中身すべて
]
}
]
}ポイントは Action を s3:* と書かず、具体的に s3:GetObject と絞っているところです。これだけで、攻撃者が勝手にファイルを消したり、他のバケットを覗き見たりするのを防げます。
—
3. 「IAM Access Analyzer」という最強の味方
とはいえ、最初から完璧なポリシーを書くのはプロでも難しいもの。「どの権限が必要で、どれが不要なのか」を人間が判断するのは大変ですよね。
そこで登場するのが 「IAM Access Analyzer（アクセスアナライザー）」 です。これは、AWSが提供する「権限の健康診断ツール」のようなものです。
Access Analyzerができること
- 使われていない権限の可視化: 「過去90日間、この権限は一度も使われていませんよ」と教えてくれます。
- ポリシーの自動生成: 実際にそのプログラムが実行した操作ログ（CloudTrail）を元に、「本当に必要な最小限のポリシー」をAIが自動で作ってくれます。
どうやって使うの？
1. AWSコンソールで「IAM」を開く。
2. 左メニューの「Access Analyzer」をクリック。
3. 「ポリシーの生成」機能を使って、対象のIAMロールやユーザーを選択。
4. しばらく運用すると、「このアクションは使われていません」という通知が届くので、それを削除（ポリシーの縮小）する。
これだけで、あなたのクラウド環境は「不要な鍵」が捨てられ、泥棒が侵入できる隙間がどんどん減っていきます。
—
4. 一歩ずつ、確実に要塞化しよう
最初から100点満点のセキュリティを目指すと、途中で疲れてしまいます。まずは、以下のステップで進めてみてください。
1. 「とりあえず管理者権限」をやめる: 新しく作るロールには、必ず必要なアクションだけを記述する。
2. Access AnalyzerをONにする: まずは現状の「使われていない権限」がどれくらいあるか眺めてみる。
3. 定期的に見直す: 1ヶ月に一度、「この鍵はまだ必要？」と自分に問いかける。
セキュリティは「一度設定して終わり」のゴールがあるわけではなく、「日々、泥棒の侵入経路を塞ぎ続ける習慣」そのものです。
難しく聞こえるかもしれませんが、皆さんの環境を少しずつ「鉄壁の要塞」に変えていくのは、エンジニアとしてとてもクリエイティブで楽しい作業ですよ。
まずは今日、皆さんのIAMポリシーを一つだけ、*（ワイルドカード）から具体的な権限名に変えてみませんか？その小さな一歩が、将来の大きなインシデントを未然に防ぐ鍵になります。
それでは、また次回のセキュリティ講座でお会いしましょう！応援しています！
コメント