IAM Access AnalyzerのカスタムポリシーチェックをCI/CDで活用する際の設計と工夫

例：禁止リストに「s3:GetObject」があるとして...
- s3:GetObject の追加 → ✅ 検出できる
- ec2:RunInstances の追加 → ❌ 検出できない（リストにないため）

repository/
├── policies/
│   ├── AdminPolicy.json            # スタンドアローンのポリシーファイル
│   ├── DeveloperPolicy.json
│   └── DenyListPolicy.json         # Denyのみのポリシー
└── lambda/
    └── create_role.py              # ポリシーを読み込んでロールにアタッチ

{
  "Effect": "Allow",
  "Action": "ssm:GetParameter",
  "Resource": "arn:aws:ssm:*:*:parameter/aws/service/*"
}

{
  "suppressed_actions": [
    {
      "action": "ssm:GetParameter",
      "resource_pattern": "arn:aws:ssm:*:*:parameter/aws/service/*",
      "reason": "AWSサービス提供のパブリックパラメータのみ参照可能"
    }
  ]
}

def is_action_suppressed(action: str, resource: str, suppression_rules: list) -> bool:
    """アクションが抑制対象かどうかを判定"""
    for rule in suppression_rules:
        # アクションがマッチするか（ワイルドカード対応）
        if not fnmatch.fnmatch(action, rule.action):
            continue
        # リソースがパターンにマッチするか
        if fnmatch.fnmatch(resource, rule.resource_pattern):
            return True
    return False

**Summary**: ✅ 22 passed, ⚠️ 1 failed, 🔇 3 suppressed

{
  "result": "FAIL",
  "message": "The modified permissions grant new access compared to your existing policy.",
  "reasons": [
    {
      "description": "...",
      "statementIndex": 0
    }
  ]
}

def get_added_actions(existing_policy: str, new_policy: str) -> list[str]:
    """既存ポリシーと新ポリシーを比較し、追加されたアクションを返す"""
    existing_actions = extract_actions_from_policy(existing_policy)
    new_actions = extract_actions_from_policy(new_policy)
    added = new_actions - existing_actions
    return sorted(added)

- `path/to/policy.json`
  - The modified permissions grant new access compared to your existing policy.
  - **追加されたアクション**: `ec2:DescribeInstances`, `ec2:DescribeSecurityGroups`

name: IAM Policy Check

on:
  pull_request:
    paths:
      - 'path/to/policies/**/*.json'

permissions:
  id-token: write
  contents: read
  pull-requests: write

jobs:
  check-iam-policies:
    runs-on: ubuntu-latest

    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0  # CheckNoNewAccessでmainとの比較に必要

      - name: Fetch base branch
        run: git fetch origin ${{ github.base_ref }}

      - uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::${{ secrets.AWS_ACCOUNT_ID }}:role/github-actions-role
          aws-region: ap-northeast-1

      - uses: actions/setup-python@v5
        with:
          python-version: '3.13'

      - name: Install dependencies
        run: pip install boto3

      - name: Run IAM Policy Check
        continue-on-error: true  # FAILしてもCIを止めない（情報提供目的）
        env:
          BASE_REF: ${{ github.base_ref }}
        run: python scripts/check_iam_policies.py > results.md

      - name: Comment on PR
        uses: actions/github-script@v7
        with:
          script: |
            const fs = require('fs');
            const results = fs.readFileSync('results.md', 'utf8');

            // 既存コメントを更新、なければ新規作成
            const { data: comments } = await github.rest.issues.listComments({
              issue_number: context.issue.number,
              owner: context.repo.owner,
              repo: context.repo.repo,
            });

            const botComment = comments.find(comment =>
              comment.user.type === 'Bot' &&
              comment.body.includes('IAM Access Analyzer Check Results')
            );

            if (botComment) {
              await github.rest.issues.updateComment({
                comment_id: botComment.id,
                owner: context.repo.owner,
                repo: context.repo.repo,
                body: results
              });
            } else {
              await github.rest.issues.createComment({
                issue_number: context.issue.number,
                owner: context.repo.owner,
                repo: context.repo.repo,
                body: results
              });
            }

## 🔐 IAM Access Analyzer Check Results

### 1. CheckAccessNotGranted（禁止アクションのチェック）

**Summary**: ✅ 22 passed, ⚠️ 1 failed, 🔇 1 suppressed

<details><summary>⚠️ Failed Checks</summary>

- `policies/AdminPolicy.json`
  - The policy grants access to the restricted actions.
  - Statement[0] の問題アクション: `s3:GetObject`
  - ℹ️ DenyListPolicyでDenyされている場合は実効的に問題ありません

</details>

### 2. CheckNoNewAccess（権限拡大のチェック）

**Summary**: ✅ 20 passed, ⚠️ 1 failed, ⏭️ 2 skipped

<details><summary>⚠️ Failed Checks (New access detected)</summary>

- `policies/AdminPolicy.json`
  - The modified permissions grant new access compared to your existing policy.
  - **追加されたアクション**: `ec2:DescribeInstances`, `ec2:DescribeSecurityGroups`

</details>

### 3. ValidatePolicy（文法・ベストプラクティスチェック）

**Summary**: ✅ 23 passed, ⚠️ 0 warnings

---

> **Note**: このチェックはIAM Access Analyzerを使用しています。
> FAILの場合でもCIは停止しませんが、権限の変更内容を確認してください。