「とりあえず管理者権限」は卒業しよう！AWS IAMで「最小権限」をマスターする防犯の極意
こんにちは。現場で泥臭いインシデント対応を繰り返していると、「なぜ、たった一つの小さなミスが会社を揺るがす大惨事になるのか」を痛感させられます。
今回は、AWSを触り始めたばかりの方が一度は必ず迷い込む「IAM（Identity and Access Management）の権限設定」についてお話しします。「とりあえず `AdministratorAccess` を付与しておけば動くから楽」という運用、実は家に帰るたびに「家の玄関の鍵を全開にして、誰でも入れる状態にしている」のと同じことなんです。
今日は、泥棒に隙を与えないための「最小権限の原則」と、それを確認するための秘密兵器「IAM Policy Simulator」について、一緒に紐解いていきましょう。
—
1. そもそも「最小権限の原則」ってなんだろう？
セキュリティの世界で一番大切な考え方、それが「最小権限の原則（Principle of Least Privilege）」です。
これは簡単に言うと、「その人が仕事をするために必要な、最小限の鍵だけを渡す」というルールです。
- 悪い例： 家中のすべての部屋（サーバーやデータベース）に入れる「マスターキー」を、掃除担当のスタッフ全員に渡す。
- 良い例： 掃除担当の方には「掃除が必要な部屋の鍵」だけを渡し、リビングや寝室には入れないようにする。
もし、悪意のある人間がスタッフの一人のふりをして侵入してきたとしても、鍵が限定されていれば、被害を最小限に食い止めることができますよね。
—
2. 実践！「IAM Policy Simulator」でシミュレーションしよう
「じゃあ、具体的にどんな権限を渡せばいいの？」と不安になりますよね。そんな時に使うのが、AWSが用意してくれている「IAM Policy Simulator」です。
これは、「このポリシーを適用したら、この人は何ができて、何ができないのか？」を、実際に権限を付与する前にテストできるツールです。
使い方のステップ
1. [IAM Policy Simulator](https://policysim.aws.amazon.com/) にアクセスします。
2. 「ユーザー」を選択します。
3. テストしたいポリシーを右側の編集画面に貼り付けます。
4. 「アクション」を選択し、「シミュレーションを実行」ボタンを押します。
ここで「Allowed（許可）」と出たものが、その人ができることです。もし「やりたいこと以外にAllowedが含まれていたら、それは権限が広すぎる」というサイン。ここを削っていくのが、プロの仕事です。
—
3. ポリシーを「絞り込む」ためのコード例
では、実際に「S3バケットの特定のフォルダだけ読み書きさせたい」という場面を想定してみましょう。
❌ ダメな例（広すぎる権限）
`Action: “s3:”` と書いてしまうと、「バケットの削除」までできてしまいます。これでは泥棒にバケットごと盗まれる可能性があります。
✅ 良い例（絞り込まれた権限）
必要な操作（`GetObject`, `PutObject` など）だけを指定し、リソース（対象のバケット）も限定します。
{
“Version”: “2012-10-17”,
“Statement”: [
{
“Effect”: “Allow”,
“Action”: [
“s3:GetObject”, // ファイルのダウンロードのみ許可
“s3:PutObject” // ファイルのアップロードのみ許可
],
“Resource”: “arn:aws:s3:::my-special-bucket/work-folder/” // 特定のフォルダだけに限定！
}
]
}
このように記述することで、「バケット全体を削除する権限」や「他のフォルダを覗く権限」を渡さずに、必要な仕事だけを完結させることができます。
—
4. 今日からできる「守りの第一歩」
セキュリティ対策は、一気に完璧を目指すと疲れてしまいます。まずは以下のステップから始めてみてください。
1. 「とりあえず管理者」を見直す： 自分の作業用ユーザーに `AdministratorAccess` がついていたら、まずは読み取り専用のポリシーに切り替えてみて、何が動かなくなるか試してみましょう。
2. シミュレーターを癖にする： 新しいポリシーを作ったら、いきなり設定せず、必ず「IAM Policy Simulator」を通す。これだけで重大な事故の9割は防げます。
3. 「失敗」を恐れない： 権限が足りなくてエラーが出たら、「あ、今この操作にはこの権限が必要なんだな」と一つずつ学んでいけばいいんです。それが一番の近道です。
セキュリティは「制限」ではなく、「自分たちの大切な資産を守るための盾」です。最初は少し面倒かもしれませんが、一度この感覚を身につければ、あなたはどこに行っても信頼されるエンジニアになれます。
さあ、まずは自分のIAM設定を見直すところから、一歩ずつ進んでいきましょう！応援していますよ。
コメント