SAA学習-IAM-IAMの概要 - おっさん社内SEエンジニアの勉強ブログ

本日のテーマ：IAMの概要

主要サービスの公式資料

AWS Identity and Access Managementの略称で、
安全にAWSの操作を実施するための認証・許可の仕組みとなります。

具体的には、AWSの操作を実施するため、ユーザ管理を行う仕組みとなります。

IAMの構成要素としては以下のものが挙げられます。

ユーザーなどへアクセス権限を付与するための設定ドキュメント(JSON形式の文章)になります。

JSONファイルの構成要素と設定は以下のようになります。

AWS上の利用者はIAMユーザーという権限を付与されたエンティティ(要素)として設定されます。
各種アカウントに対する概要は以下のようになります。

要素	概要
ルートアカウント	・AWSアカウント作成時に作られるIDアカウント・すべてのAWSサービスとリソースを使用可能・日常的には使用しないことが推奨
管理者権限	・管理者権限の許可が付与されたIAMユーザー・IAMの操作権限までルートアカウントしかできない権限は付与されない
パワーユーザー	・IAM以外のすべてのAWSサービスにフルアクセス権限を有するIAMユーザー・IAMの操作権限なし

cf)自社所有のAWSアカウントに対し、外部ベンダーにIAMユーザーを払い出す際、活用することがあります。
以下は例となります。

以下の内容がルートアカウントでサインインしないと操作できない作業となります。

IAMグループは、グループ権限をまとめて設定された単位となります。
また、一括で設定するアクセス権限の管理を行うことができ基本的には組織単位で設定します。

IAMロールは、AWSリソースに対し、アクセス権限をロールとして付与が可能です。

IAMの認証方式は、AWSリソースを使用する手段によって異なります。
認証方式と使用する手段に関して以下のようなものがあります。

認証方式	使用する手段
アクセスキーID/シークレットアクセスキー	・EC2インスタンス接続などのREST/Query形式・AWS　CLIやAPI利用時
X.509 Certificate	・SOAP形式のAPI陸セスト用の認証方式・あまり利用されるシーンがない
AWS マネジメントコンソールへログインパスワード	・AWSアカウントごとにパスワードを設定してログイン・デフォルトは未設定
MFA(多要素認証)	・物理デバイスなどを利用。・ルートアカウントなどは付与することを推奨

ユーザーのアクティビティ(利用)の記録を残す方法として、AWSのマネージドサービスを活用します。
AWSサービスを活用した記録は、以下のようなものが挙げられます。

AWSサービス	利用用途
IAMアクセスアナライザー	外部要素と共有されているS3バケットやIAMロールなどを分析し、セキュリティ上のリスクであるリソースとデータへの意図しないアクセスを特定
Access AdvisorのService Last Accessd Data	IAMエンティティ(ユーザー、グループ、ロール)が最後にAWSサービスにアクセスした日付と時刻を表示する機能
Credential Report	利用日時などが記録されたIAM認証情報のレポートファイル
AWS Config	IAMエンティティの変更履歴、構成変更を管理・確認する機能
ACS CloudTrail	AWSインストラクチャ全体でアカウントアクティビティをログに記録と継続的に関しし保持することができる機能