なぜAWSのrootユーザの利用が危険なのか？〜アカウント作成後の運用方法についてまとめてみた〜

#AWS

#IAM

和田響

2023.11.25

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

こんにちは！AWS事業本部コンサルティング部の和田響です。
AWSを利用するにあたって、基本的にはAWS アカウントのrootユーザーにはアクセスしないことが推奨されています。

AWS アカウントのルートユーザーのベストプラクティス
rootユーザーの認証情報が必要なタスクがある場合を除き、AWS アカウントのrootユーザーにはアクセスしないことを強くお勧めします。

この記事ではなぜrootユーザの利用が危険なのかをまとめ、AWSアカウント作成後のrootユーザーの取り扱い方について記載します。
最近AWSのアカウントを作成した方のセキュリティ向上の一助になれば幸いです。

rootユーザーとは？

AWSのrootユーザーとは、AWSアカウント作成時に設定したメールアドレスとパスワードでログインできるユーザーのことです。したがって、rootユーザーにログインすることはAWSアカウントにログインするとも言い換えられます。
このルートユーザーはアカウントのすべての AWS リソースに完全にアクセスできます。
後述しますが、rootユーザーへのログインは基本的に行わず、作業用のユーザを作成することになります。

なぜrootユーザーの利用が危険なのか

rootユーザーの利用がなぜ危険なのかを具体的に考えてみます。

すべてのリソースに対して無制限なアクセスが可能だから

これはrootユーザーの特性そのものですが、ルートユーザにアクセスすると全てのAWSリソースに無制限にアクセスできます。
そのため、もしrootユーザーの認証情報(メールアドレスとパスワード)が悪意のある第三者に漏洩しアカウントへの侵入を許した場合、侵入者はそのアカウントでなんでもできます！

例えば非常に大きいサイズのインスタンスを複数作成し、コインマイニングを行うことも考えられます。
もしp5.48xlargeサイズのインスタンスを100台起動し3時間利用した場合、約450万円の利用料が請求されます。

p5.48xlargeの利用料が98.32USD /1時間、1USD = 150円で計算した場合
98.32(1時間あたりの利用料) * 100(台数) * 3(利用時間) * 150(為替レート) = 4,424,400円

3時間自由な作業を許すだけで、これだけの被害が想定できます。

認証情報漏洩による被害についてはこちらの記事に詳しく記載されていますので、ぜひ一読ください！

責任共有モデルのお客様の責任に該当するから

AWSのセキュリティに関する責任分界点(AWSと利用者で責任を負うべき範囲)は責任共有モデルによって示されています。この責任共有モデルにおいて「IAM ツールでの適切な権限の適用」がお客様(利用者)の責任として明示されています。

お客様はエンドポイントにアクセスしてデータを保存および取得します。お客様は、データの管理 (暗号化オプションを含む)、アセットの分類、IAM ツールでの適切な権限の適用について責任を負います。

したがって、もし適切な権限の管理ができていないことによる損害は利用者が責任を持つ必要があります。(= AWS側は責任を負いません)

アカウント作成後の推奨される運用方法

AWSアカウントを作成した後は以下のアクションが推奨されます。
これを怠ると前述のようなリスクがあるので、アカウント作成後なるべく早く設定することをお勧めします。

MFA認証を設定する

多要素認証 (MFA)とは、ユーザーが単なるパスワードよりも多くの情報を入力する必要がある複数ステップのアカウントログインプロセスです。つまりMFA認証の設定をすると、ログインの際にユーザー名・パスワードに加えて追加の情報が必要になります。そうすることで、ユーザ名・パスワードが悪意のある第三者に漏洩した場合でも、権限のないユーザがアカウントにアクセスすることを防ぐことができます。

5分もかからない作業なので、今すぐ設定しましょう！！

設定方法： AWS アカウントの root ユーザー (コンソール) に対して仮想 MFA デバイスを有効にする