IAMによるAWS権限管理運用ベストプラクティス (1)

よく訓練されたアップル信者、都元です。AWSにはIAMという権限管理のサービスがあります。AWSを専門としている我々にとっては当たり前の知識なのですが、皆さんはこの機能を上手く使えているでしょうか。

AWSにおけるクレデンシャルとプリンシパル

まず、AWSにおけるクレデンシャルは大きく2種類 ^*1に分かれます。

• Sign-In Credential：Management Consoleログインのためのクレデンシャル（要するにパスワード）
• Access Credentials：APIアクセスのためのクレデンシャル（要するにAPIキー）

また、プリンシパル（ログインする主体、ユーザ名等）にも大きく2種類 ^*2があります。

• AWSアカウント
• IAMユーザ

これらの組み合わせとして「AWSアカウントのパスワード」「AWSアカウントのAPIキー」「IAMユーザのパスワード」「IAMユーザのAPIキー」という4つのクレデンシャルがあることになります。

AWSを使い始める際、サインアップの時にメールアドレスとパスワードを登録したと思います。これが「AWSアカウントのパスワード」です。また、Your Security CredentialsページのAccess Keysの項で確認できるのが「AWSアカウントのAPIキー」です。

また、IAMのManagement Consoleにおいてユーザを作成した場合、そこで設定したパスワード ^*3が「IAMユーザのパスワード」、そこで生成したアクセスキーが「IAMユーザのAPIキー」となります。

細かいことですが、1つのIAMユーザにつきパスワードは1つしかありませんが、APIキーは複数持つことができます。APIキーを持たない場合もあります。

さて、これらのクレデンシャルは「開発運用スタッフ」や、AWS上で稼働する「システム」が利用します。発展形としては、AWS上で稼働するサービスの「エンドユーザ」自身や「エンドユーザが持つモバイルアプリ等」が利用することもあります。が、まずは「開発運用スタッフ」にフォーカスしてみましょう。

開発運用スタッフが利用するクレデンシャル

プラクティス1 : 「AWSアカウントのパスワード」は普段使いしない

さて、AWSアカウントというのは、権限制御ができません。言い換えれば、常にそのアカウント内のリソースに対する全権を持ちます。つまり、AWSアカウントとしてAWSにログインするのは危険と考えるべきです。

これに対して、IAMユーザは設定により権限を制御可能です。たとえ管理作業を行う場合でも、別にIAMユーザを作成し、そのIAMユーザに管理権限を与えて、普段はIAMユーザを利用すべきです。

ちなみに「AWSアカウント」に出来て「管理権限を与えられたIAMユーザ」に出来ないことは主に以下の通り ^*4です。

• 請求に関する操作（コンソリの手続きや、支払い情報の変更等）
• 登録情報（名前や住所等）に関する操作
• アカウントの解約

上記の通り、技術的な業務を行う範囲では何ら支障がないはずですので、是非IAMユーザを使うようにしましょう。AWSアカウントのパスワードによるログインは、プロジェクトの管理者（多くても2〜3名程度）が、上記のような非技術的な管理業務を行う際のみに利用する、という体制が望ましいと思っています。

プラクティス2 : 「AWSアカウントのAPIキー」は使わない

前述の通り、AWSアカウントというのは全権を持っています。そしてそのAPIキーも、もちろん全権を持ちます。しかし、このキーがどうしても必要な場面というのは、恐らくありません。

このキーは、かつてIAMというプロダクトが無かった頃の遺物です。つまり、互換性のためだけに用意されている機能ですので、そもそもこのキーを発行しないのがベストです。

というわけで、プラクティス1と同様、このキーも利用しないようにしましょう。

プラクティス3 : 同じプリンシパルを複数人で共有しない

プラクティス1でIAMユーザを作成することをお勧めしましたが、これにはもうひとつメリットがあります。複数人でAWSを利用する際に、プリンシパルを共有する必要がなくなります。

AWSアカウントというプリンシパルは1つしかありませんので、IAMを使わない場合は複数人でAWSアカウント及びパスワードを共有することになります。しかし、このような運用にはいくつかの重大な問題があります。

• 誰が権限を持っているのか把握が難しい
• 何かトラブルが発生した際、誰が操作したのかログ等から判断できない
• メンバーが離脱した際に、パスワードの変更を迫られる（が、めんどくさいので大抵放置される）

このような問題を回避するためにも、メンバーに対して個別のIAMユーザを作成しましょう。プラクティス1に従ってIAMユーザを作ったとしても、そのIAMユーザのパスワードを複数人で共有しないようにしましょう。同一のIAMユーザというプリンシパルを共有することになってしまいます。

ひとまずまとめ

意外と長くなりそうなので、一旦ここまでで。まとめますと以下の通りです。

• 「AWSアカウントのパスワード」は、基本的に使わない。主に登録情報等の管理と請求関連操作にだけ使う。
• 「AWSアカウントのAPIキー」は、使うべきではない。そもそも作成すべきでもない。
• 「IAMユーザのパスワード」は、個人に対して割り当てるべき。
• 「IAMユーザのAPIキー」も、個人に対して割り当てるべき。個人がawscliを等を使う時用。

以上の体制で「開発運用スタッフ」が行うAWSに対するアクションは、ほとんどがカバーできると思います。次回は、AWS上で稼働する「システム」が行うAWSに対するアクションについて、プラクティスを見て行きたいと思います。システム（＝プログラム）はSign-In Credentialを使いませんので、次回はAccess Credentialsに絞った話になる見込みです。

脚注