IAM ポリシー Billing と AWSBillingReadOnlyAccess の違い
2024.12.23はじめに
こんにちは、中村です！
IAM ユーザーに請求に関するポリシーをアタッチするにあたり、IAM ポリシー Billing と AWSBillingReadOnlyAccess の違いについて気になったため、調査してみました。
結論
AWSBillingReadOnlyAccess と比較すると、Billing の方が請求関連の操作においてできることが多いです。
具体的には、Billing には請求に関する読み取り操作に加えて書き込み権限が付与されているため、請求に関する設定変更などの操作が可能となります。
一方で、AWSBillingReadOnlyAccess は、ポリシー名のとおり許可されているのは基本的に読み取り権限のみであり、請求情報の確認が主に可能な操作となります。
＜権限差異の例＞
請求コンソールにおける支払い方法の変更操作
Billing ： 「ModifyPaymentMethods」と「ViewPaymentMethods」アクションが許可されているため可能
AWSBillingReadOnlyAccess：許可されていないため操作不可
調査内容
ドキュメント
まず、公式ドキュメントに記載されたポリシーごとの違いを確認していきます。
- Billing
ポリシーの種類：請求に関する AWS ジョブ機能の管理ポリシー
ユースケース：請求情報の確認、支払いの設定、支払いの承認を行うユーザーを想定したポリシー
AWS 管理ポリシー名: Billing
ユースケース: このユーザーは請求情報の確認、支払いの設定、支払いの承認を行う必要があります。ユーザーは、AWS のサービス全体の累計されたコストをモニタリングできます。
※ AWS ジョブ機能の管理ポリシー に関する詳細は弊社のブログ「IAMポリシーの管理画面で出てくる「AWS管理のジョブ機能」って何!?」をご参照ください。
- AWSBillingReadOnlyAccess
ポリシーの種類：請求に関する AWS 管理ポリシー
ユースケース：請求コンソールでの請求の閲覧を行うユーザーを想定したポリシー
説明: 請求コンソールでの請求の閲覧をユーザーに許可します。
コンソール
IAM コンソールへ表示された各ポリシーにて許可されているアクションの差異を確認していきます。
上述したドキュメントに記載された違いのとおり、アクセスレベルでの差異において、Billing はより広範な権限（書き込みを含む）を持っているのに対し、AWSBillingReadOnlyAccess は主に読み取り専用の権限に特化しています。
- Billing
- AWSBillingReadOnlyAccess
まとめ
Billing は「請求に関する AWS ジョブ機能の管理ポリシー」として、社内で請求を管理する役割のユーザーを想定して作成されたポリシーです。そのため、請求の管理に必要な権限がパッケージ化されており、適用することができます。
AWSBillingReadOnlyAccess は、その名のとおり請求情報を閲覧することを目的として作成されており、基本的に読み取りのみの権限となっています。設定の変更や書き込み操作はできません。
この調査内容が、皆様が IAM ユーザーに請求に関するポリシーをアタッチする際に役立てば幸いです。
参考資料
アノテーション株式会社について
アノテーション株式会社は、クラスメソッド社のグループ企業として「オペレーション・エクセレンス」を担える企業を目指してチャレンジを続けています。「らしく働く、らしく生きる」のスローガンを掲げ、様々な背景をもつ多様なメンバーが自由度の高い働き方を通してお客様へサービスを提供し続けてきました。現在当社では一緒に会社を盛り上げていただけるメンバーを募集中です。少しでもご興味あれば、アノテーション株式会社WEBサイトをご覧ください。
![[アップデート] Control Tower ランディングゾーンがAWS Backup の統合管理をサポートしたので使ってみた](https://images.ctfassets.net/ct0aopd36mqt/wp-thumbnail-fff4d7e7c3509d1ffcc67578673c5f00/056494cb8aea27071cd8ed8a870bda83/aws-control-tower)
