Security Hub で存在しない IAM ユーザが検知されたときの対処方法

困っていた内容

Security Hub で検出されたリソースを確認したところ、見慣れない IAM ユーザ名（例：AIDAJQABLZS4A3QDU576Q）が記載されていました。
念のため確認しましたが、そのような IAM ユーザは登録されておらず、一見アクセスキーに似ていたのでアクセスキーも確認しましたが、該当するものはありませんでした。この IAM ユーザはなんでしょうか。

どう対応すればいいの?

AWS CLI でlist-usersを実行してください。

$ aws iam list-users
{
    "Users": [
        {
            "Path": "/",
            "UserName": "hato",
            "UserId": "AIDAJQABLZS4A3QDU576Q",
            "Arn": "arn:aws:iam::123456789012:user/hato",
            "CreateDate": "2020-01-01T01:01:01+00:00"
        }
    ]
}    

表示されたリソース名は、マネージメントコンソールでよく見かける IAM ユーザ名（フレンドリ名）ではなく、IAM ユーザ毎に設定されたユーザ ID です。ARN でもユーザ名が使用されるため、ユーザ ID はあまり名にすることはありませんが、AWS CLI や API を使用することで、ユーザ ID とユーザ名の紐付けを確認することができます。

そのため、list-usersで IAM ユーザ名を確認してください。

なお、ID は次のプレフィックスを使用します。

IAM 識別子 - AWS Identity and Access Management

参考資料

IAM がユーザー、ユーザーグループ、ロール、ポリシー、インスタンスプロファイル、サーバー証明書を作成する際、各リソースには次のような一意の ID が割り当てられます。

AIDAJQABLZS4A3QDU576Q

ほとんどの場合、IAM リソースを操作するときは、フレンドリ名と ARN を使用します。

IAM 識別子 - AWS Identity and Access Management