![[Lock] アイコン](http://web.archive.org./web/20180315081111im_/https://d1.awsstatic.com/Test%20Images/Amy%20Test%20Images/Icons_IAM.164f70cb7959ce2bbb57a292afb795d785c3d909.png "[Lock] アイコン"){kind=icon}
AWS Identity and Access Management (IAM) は、ユーザーに対して AWS へのアクセスを安全に制御するための仕組みです。
認証・認可に基づくアクセス権の管理は、アクセス対象のシステムを安全に運用する上で必要不可欠です。認証によってアクセス元が誰かを確認し、認可によって特定の条件下におけるリソースへのアクセス権限を与えます。
企業の IT システムのクラウド環境への移行が進むにつれ、リソースが企業内だけでなく様々な場所に遍在するようになりました。また、それらのリソースを使用するサービスが、他のサービスと連携しながらシステムとして動作するため、リソースへのアクセス権の管理も煩雑になりがちです。そのため、認証・認可の仕組みも以下のようなものが求められるようになってきています。
- 既存の認証基盤との連携機能による、認証にまつわるユーザーコストの最小化
- 遍在するリソースへのアクセス管理を効率化する、可搬性・再利用性の高いポリシー記述
- 一時認証やエンティティ認証による、安全なサービス間連携の実現
AWS Identity and Access Management (IAM) により、お客様のユーザーの AWS サービスおよびリソースへのアクセスを安全にコントロールすることができます。IAM を使用すると、AWS のユーザーとグループを作成および管理し、アクセス権を使用して AWS リソースへのアクセスを許可および拒否できます。
IAM の使用を開始するには、既に AWS に登録済みの場合、AWS マネジメントコンソールに移動し、これらの IAM ベストプラクティスから開始します。
IAM は無料です。今すぐお試しください。
きめ細かいアクセス制御を使用し、会社のディレクトリと統合し、権限の高いユーザーには MFA を要求します。
IAM を使うと、ユーザーが AWS のサービス API や指定リソースへのアクセスをコントロールできるようになります。また、時間帯 (ユーザーが AWS を使用する方法の制御)、アクセス元の IP アドレス、SSL を使用しているかどうか、多要素認証デバイスによる認証済みかどうかなど、特定の条件を追加することもできます。
モバイルやブラウザベースのアプリケーションから AWS リソースに安全にアクセスできるようにするために、一時的なセキュリティ認証情報をリクエストすることができます。これにより、特定の AWS リソースへのアクセスを、あらかじめ設定した時間のみ許可できます。
追加コストなしで利用でき、ユーザー名とパスワードの認証情報を強化するセキュリティ機能である AWS MFA を使用して、AWS 環境を保護します。MFA ではユーザーが、有効な MFA コードを入力することで、ハードウェア MFA トークンまたは MFA 対応のモバイルデバイスの物理的所有を証明するように要求されます。
IAM を使用すると、AWS マネジメントコンソールや AWS サービス API へのフェデレーションアクセス権を、Microsoft Active Directory などの既存の ID システムを使用して従業員やアプリケーションに付与することができます。SAML 2.0 をサポートする ID 管理ソリューションをどれでも使用できます。また、Amazon のフェデレーションサンプル (AWS Console SSO や API フェデレーション) をご自由にお使いください。
IAM はロールやアクセス権の作成を支援
AWS IAM を利用すると、以下のことが可能になります。
- IAM ユーザーとそのアクセスを管理 – IAM でユーザーを作成し、ユーザーに個別のセキュリティ認証情報 (アクセスキー、パスワード、多要素認証デバイス) を割り当てるか、一時的セキュリティ認証情報をリクエストすることによって、AWS のサービスやリソースへのアクセス権をユーザーに付与します。ユーザーにどの操作の実行を許可するかを、管理者がコントロールできます。
- IAM ロールとその権限を管理 – IAM でロールを作成し、権限を管理することで、そのロールを適用するエンティティまたは AWS サービスの実行可能なオペレーションをコントロールします。ロールをどのエンティティに適用するかについても定義できます。さらに、サービスにリンクされているロールを使用して、お客様の代わりに AWS リソースを作成および管理する権限を AWS のサービスに委任することができます。
- フェデレーティッドユーザーとその権限の管理 – ID フェデレーションを有効にすると、社内の既存のアイデンティティ (ユーザー、グループ、およびロール) による AWS マネジメントコンソールへのアクセス、AWS API の呼び出し、およびリソースへのアクセスを許可できます。アイデンティティごとに IAM ユーザーを作成する必要はありません。SAML 2.0 をサポートする ID 管理ソリューションをどれでも使用できます。また、Amazon のフェデレーションサンプル (AWS Console SSO や API フェデレーション) をお使いください。
ユーザー、グループ、アプリケーションへの柔軟なアクセス管理
AWS では、IT 担当技術者やデベロッパーの方へ、AWS のリソースのアクセス管理に役立つベストプラクティスをご用意しています。
Users – 個々のユーザーを作成する。
Groups – グループを使って権限を管理する。
Permissions – 最小限の権限を付与する。
Auditing – AWS CloudTrail をオンにします。
Password – 強力なパスワードポリシーを構成する。
MFA – 特権ユーザーに対して、MFA を有効化する。
Roles – Amazon EC2 インスタンスに対して IAM ロールを使用する。
Sharing – IAM ロールを使って、アクセスを共有する。
Rotate – セキュリティ認証情報を定期的にローテーションする。
Condition – 条件を使って、特権的アクセスをさらに制限する。
Root – ルートの使用を削減または削除する。
