7 年間溜めた AWS IAM AWS 管理ポリシーへの愛を語りました #devio2022

7 年前からが好きだよ AWS 管理ポリシー

コンバンハ、千葉（幸）です。

弊社主催のオンラインイベントDevelopersIO 2022の「アルティメットLT AWS愛を語り尽くす！AWS バーサス クラスメソッド 〜むしろお前が好きだよ〜」で AWS IAM AWS 管理ポリシーへの愛を語ってきました。

ここが好きだよ AWS 管理ポリシー

好きなポイントをかいつまんで書きます。

新サービスや新機能の発表の前に作成・更新されていることがある

新サービスや新機能が発表される前から、それらのための AWS 管理ポリシーが作成・更新されていることが多いです。

AWS管理ポリシーの更新をウォッチすることで、「もしかしたらこんなことできるようになるのかな？」という想像が捗ったりします。

数が多い

2022/8/1 時点で 960個以上の AWS 管理ポリシーがありました。推しを見つけたくなりますね。

たまに数が減る

非推奨（Deprecated）になると、IAM リソースにアタッチされていない限り消えて無くなっていきます。儚さを感じていいですね。

• 非推奨の AWS 管理ポリシー - AWS Identity and Access Management

命名規則や説明文がバラエティ豊か

「ポリシー名でアンダースコアそこに挟むの……？」「説明が数百文字あるものもあれば 20文字足らずで終わるものもある……」など、眺めていて飽きません。

いろんなチームがそれぞれ独自に決めてるんだろうな、とか過去の歴史があるんだろうな、といった妄想が捗ります。

おすすめの AWS 管理ポリシーの愛で方

CSV 形式にしてスプレッドシートで愛でるのがおすすめです。

IAM ポリシーの一覧を必要な項目にのみ絞って出力する例が以下。

aws iam list-policies\
  --scope AWS\
  --max-items 1000\
  | jq -r '
    ["ポリシー名","パス","デフォルトバージョン","作成日時","更新日時","アタッチ可否"],
    (.Policies[] | [.PolicyName,.Path,.DefaultVersionId,.CreateDate,.UpdateDate,.IsAttachable]) | @csv' | pbcopy

• list-policies — AWS CLI 2.7.20 Command Reference

一度に取得できるポリシーは1,000個までなので、複数回に分けての実行が必要になる日も近そうです。 勘違いでした。1,000個を超えても一度のコマンド実行で取得できます。

上記のコマンドでは IAM ポリシーの「説明（description）」は取得できないため、そちらの情報が欲しいときは例えば以下のように実行します。

aws iam list-policies --max-items 1000 --scope AWS --output json | jq -r '.Policies[].Arn' \
  | while read policy; do
        aws iam get-policy --policy-arn $policy --output json | jq -r '.Policy | [.PolicyName,.Description] | @csv' >> policies.csv
    done

• get-policy — AWS CLI 2.7.20 Command Reference

上記の例だとひとつずつ直列に実行することになり時間がかかるため、xargsコマンドなどを使用してパラレルでやる方がおすすめです（後から気づいた）。

1,000 を超える日も近い

AWS 管理ポリシーの数、そして他の何かの種類が今年中に 1,000 を超えそうです。

どちらが先に到達するか楽しみに待ちましょう！

登壇資料

AWS 管理ポリシーには AWS のすべてが詰まっています。興味を持つ方が増えれば何よりです。

以上、 チバユキ (@batchicchi) がお送りしました。

おまけ

泣く泣く削ったスライドです。

AWS 管理ポリシーをアルファベット順に並べた場合の先頭と末尾 5 つを調べてました。

テンポが悪くなるので削ったスライド pic.twitter.com/eouKap2Yij

— Batchi (@batchicchi) July 27, 2022

おまけ2

AWS 管理ポリシーを愛でている最中に生まれた各種情報です。いずれも 2022/7/27 0:00(JTC)時点のアクティブな（非推奨でない）ポリシーを対象にしています。

月ごとの AWS 管理ポリシーの増加数

月	2015	2016	2017	2018	2019	2020	2021	2022
01	-	9	9	4	15	8	7	4
02	91	6	7	6	3	4	12	7
03	4	2	2	13	5	2	6	5
04	12	2	5	8	8	9	15	15
05	10	3	3	14	6	15	13	5
06	0	1	2	16	19	24	5	6
07	11	1	2	3	11	4	2	3
08	0	2	10	7	12	19	14	-
09	3	2	7	4	5	14	18	-
10	14	1	11	11	9	9	12	-
11	6	17	36	40	28	19	37	-
12	5	14	8	7	29	41	2	-

ポリシー名に登場する記号の件数

記号	件数
+	0
=	0
,	0
.	0
@	0
_	31
-	11

ポリシー名の長さ TOP20

#	ポリシー名	長さ
1	AmazonSageMakerServiceCatalogProductsCloudformationServiceRolePolicy	68
2	AmazonSageMakerServiceCatalogProductsCodePipelineServiceRolePolicy	66
3	AmazonSageMakerServiceCatalogProductsApiGatewayServiceRolePolicy	64
4	AmazonSageMakerServiceCatalogProductsCodeBuildServiceRolePolicy	63
5	AmazonSageMakerServiceCatalogProductsFirehoseServiceRolePolicy	62
6	AmazonSageMakerAdmin-ServiceCatalogProductsServiceRolePolicy	60
7	ApplicationDiscoveryServiceContinuousExportServiceRolePolicy	60
8	AWSBudgetsActions_RolePolicyForResourceAdministrationWithSSM	60
9	AmazonSageMakerServiceCatalogProductsLambdaServiceRolePolicy	60
10	AmazonSageMakerServiceCatalogProductsEventsServiceRolePolicy	60
11	AWSServiceRoleForCloudWatchAlarmsActionSSMServiceRolePolicy	59
12	AmazonSageMakerServiceCatalogProductsGlueServiceRolePolicy	58
13	AWSIoTDeviceDefenderAddThingsToThingGroupMitigationAction	57
14	AWSIoTDeviceDefenderReplaceDefaultPolicyMitigationAction	56
15	AWSIoTDeviceDefenderPublishFindingsToSNSMitigationAction	56
16	QuickSightAccessForS3StorageManagementAnalyticsReadOnly	55
17	AWSKeyManagementServiceMultiRegionKeysServiceRolePolicy	55
18	AWSKeyManagementServiceCustomKeyStoresServiceRolePolicy	55
19	AWSCloudWatchAlarms_ActionSSMIncidentsServiceRolePolicy	55
20	DynamoDBCloudWatchContributorInsightsServiceRolePolicy	54

ポリシー名の短さ TOP20

#	ポリシー名	長さ
1	Billing	7
2	AWSDenyAll	10
3	SupportUser	11
4	AWSConnector	12
5	LexBotPolicy	12
6	AWSConfigRole	13
7	SecurityAudit	13
8	DataScientist	13
9	AWSCloud9User	13
10	IAMFullAccess	13
11	AWSLambdaRole	13
12	AmazonSNSRole	13
13	IVSRecordToS3	13
14	AWSIoTLogging	13
15	ReadOnlyAccess	14
16	ViewOnlyAccess	14
17	AWS_ConfigRole	14
18	AWSSSOReadOnly	14
19	AmazonChimeSDK	14
20	IAMUserSSHKeys	14

説明の長さ TOP20

#	ポリシー名	長さ
1	AWSElasticDisasterRecoveryReplicationServerPolicy	738
2	AWSApplicationMigrationReplicationServerPolicy	661
3	AWSElasticDisasterRecoveryConversionServerPolicy	660
4	AmazonGuardDutyMalwareProtectionServiceRolePolicy	652
5	AWSApplicationMigrationConversionServerPolicy	589
6	VMImportExportRoleForAWSConnector	569
7	AWSElasticDisasterRecoveryRecoveryInstancePolicy	544
8	AWSBackupAuditAccess	503
9	AmazonRedshiftQueryEditorV2ReadSharing	457
10	AmazonRedshiftQueryEditorV2ReadWriteSharing	437
11	AWSElasticBeanstalkManagedUpdatesCustomerRolePolicy	436
12	AWSIoTSiteWiseConsoleFullAccess	430
13	AWSElasticDisasterRecoveryFailbackInstallationPolicy	406
14	AWSWAFConsoleFullAccess	404
15	AWSWAFConsoleReadOnlyAccess	398
16	AmazonRedshiftQueryEditorV2NoSharing	388
17	NeptuneConsoleFullAccess	378
18	AmazonDocDBConsoleFullAccess	374
19	AmazonEKS_CNI_Policy	372
20	ServerMigrationConnector	367

説明の短さ TOP20

#	ポリシー名	長さ
1	AWSDenyAll	16
2	AWSRoboMakerServicePolicy	24
3	AWSRoboMakerServiceRolePolicy	24
4	AWSIQFullAccess	30
5	LexBotPolicy	31
6	AWSSSODirectoryReadOnly	33
7	AWSXrayReadOnlyAccess	34
8	AmazonTextractFullAccess	34
9	AmazonEMRFullAccessPolicy_v2	34
10	AlexaForBusinessPolyDelegatedAccessPolicy	34
11	LexChannelPolicy	35
12	AmazonSSMFullAccess	35
13	CloudWatchFullAccess	35
14	AWSXrayWriteOnlyAccess	35
15	AmazonRekognitionReadOnlyAccess	35
16	AWSXrayFullAccess	36
17	AWSFMAdminFullAccess	36
18	AWSPanoramaFullAccess	36
19	AWSIoTEventsFullAccess	36
20	AmazonMacieServiceRolePolicy	36

こういうのをまとめてるだけでご飯が進むタイプです。