家の鍵を「全部開けっ放し」にしていませんか？AWSにおける「最小権限の原則」の守り方
こんにちは。日々、システムの守りを固める最前線に立っているセキュリティエンジニアです。
今日は、AWSという巨大な「デジタルのお城」を守るために欠かせない、「最小権限の原則（PoLP: Principle of Least Privilege）」と「SCP（ガードレール）」についてお話しします。
「セキュリティ」と聞くと難しく感じるかもしれませんが、安心してください。実は、皆さんが普段行っている「家を守るための工夫」と全く同じ考え方なんです。一歩ずつ、紐解いていきましょう。
—
1. 「最小権限の原則」は、家の鍵の貸し借りと一緒です
想像してみてください。あなたは今、大きな一軒家に住んでいます。信頼できる友達に「ちょっと荷物を預かってほしいから、家の中に入れてくれない？」と頼まれたとします。
その時、あなたは「家中のどこでも開けられるマスターキー」を渡しますか？
普通は渡しませんよね。「リビングの収納庫だけ開けられればいいよね」と言って、その場所だけ開く鍵を渡すはずです。これが「最小権限の原則」です。
AWSの世界でも同じです。「このプログラムはデータベースの読み込みだけできればいい」のに、管理者権限（マスターキー）を与えてしまうと、もしそのプログラムが悪い人に乗っ取られたとき、お城のすべてが奪われてしまいます。
「インラインポリシー」は、付箋に書いた合鍵？
AWSでよくある失敗が、個々のユーザーやプログラムに直接「何でもできる許可」をペタペタと書き込んでしまうこと（インラインポリシーといいます）。
これは、家の壁に「玄関の鍵の開け方」を直接マジックで書いているようなものです。管理が煩雑になり、誰がどこにアクセスできるのか、あとから見てもさっぱり分からなくなります。
対策:
可能な限り、役割ごとにまとめた「管理用ポリシー（マネージドポリシー）」を使い、再利用できるようにしましょう。
—
2. SCP：お城の「外壁」にルールを刻み込む
さて、家の中に鍵をかけるだけでは不十分な場合もありますよね。例えば、「どんなに信頼している家族でも、裏庭のこのエリアには絶対に入ってはいけない」と決める場合。
AWSでは、これをSCP（Service Control Policies）という機能で実現します。これは、お城の持ち主であるあなたが、「たとえ誰がどんな鍵を持っていても、このエリアには絶対に立ち入るな！」と外壁に刻み込むような強力なルールです。
なぜSCPが必要なのか？
IAMポリシーは「許可」を与えるものですが、SCPは「禁止」を強制するものです。たとえ開発者が誤って強力な権限を与えてしまっても、SCPという外壁が「いや、それはダメだ！」と弾き返してくれます。
SCPのサンプル（例：特定のリージョン以外での利用を禁止する）
例えば、「日本（東京）以外の場所でサーバーを動かすことを禁止する」というルールは、以下のように記述します。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyOutsideTokyo",
"Effect": "Deny",
"NotAction": [
"iam:*",
"organizations:*",
"account:*"
],
"Resource": "*",
"Condition": {
"StringNotEquals": {
"aws:RequestedRegion": [
"ap-northeast-1" // 東京リージョン以外を拒否
]
}
}
}
]
}この設定を組織全体に適用しておけば、万が一誰かが海外のデータセンターを勝手に操作しようとしても、AWS自体が「許可されていません」と門前払いしてくれるのです。
—
3. 今日からできる「セキュリティの習慣」
セキュリティを完璧にするのは大変ですが、まずは以下のステップから始めてみてください。
1. 「やりすぎ」を疑う: 今、その権限は本当に必要ですか？「とりあえず管理者権限でいいや」という妥協が、一番のセキュリティホールになります。
2. インラインポリシーを剥がす: 既存のコードを見直して、個別の権限付与を「ロール（役割）」ベースの管理に移行しましょう。
3. ガードレールを敷く: SCPを使って、「これだけは絶対にやってはいけない」というルールを、組織全体に適用しましょう。
最後に：セキュリティは「泥臭い」仕事です
教科書には「完璧な設計をしろ」と書かれていますが、現場では「この機能を使いたいから権限をくれ！」という要望が毎日飛んできます。
そのたびに「それは本当に最小限の権限ですか？」と粘り強く確認し、ルールを適用していく。この泥臭い対話こそが、お城を守る最高級の防壁になります。
最初は難しく感じるかもしれませんが、大丈夫です。少しずつ、一緒に守りを固めていきましょう。あなたの書くコード、そしてあなたが守るシステムが、より安全なものになることを応援しています！
コメント