TERM 017
IAM
主体と権限を、ポリシーとして結び付ける
IAMは、人やアプリなどのIdentityと、リソースに対する権限を一元的に管理する仕組みです。「誰が・何に・どの操作をできるか」をポリシーとして表現します。
誰が何をできるかを一元的に管理する仕組みの全体像。
CONTENTSこの記事の目次＋
QUICK OVERVIEW
30秒でつかむ
アクセスする主体
人間とワークロードを区別し、それぞれ固有のIDを使います。
権限の集合
複数の操作権限を職務や用途に合わせた役割へまとめます。
結び付けの規則
どの主体へどの役割をどの範囲で与えるか定義します。
01 — DEFINITION
IAMとは
何か
IAMは、人やアプリなどのIdentityと、リソースに対する権限を一元的に管理する仕組みです。「誰が・何に・どの操作をできるか」をポリシーとして表現します。
02 — HOW IT WORKS
仕組みを
3段階で見る
細部へ入る前に、入力から結果までの役割を順番に捉えます。
主体を識別
ユーザー、グループ、サービスアカウントを確認する。
→役割を照合
対象リソースに結び付いた権限規則を評価する。
→操作を制御
許可された操作だけ実行し、判断を記録する。
IAMを理解するときの、最小の処理単位です。
03 — ESSENTIALS
押さえるべき
3つの要点
名前だけでなく、この3点の関係まで理解すると実装へつなげやすくなります。
アクセスする主体
人間とワークロードを区別し、それぞれ固有のIDを使います。
権限の集合
複数の操作権限を職務や用途に合わせた役割へまとめます。
結び付けの規則
どの主体へどの役割をどの範囲で与えるか定義します。
04 — REAL WORLD EXAMPLE
本番APIへSecret読取だけを許す
本番のサービスアカウントがデータベース用Secretを必要とします。
- 01
本番API専用のIDを割り当てる
- 02
対象Secretへ読取役割だけを付与する
- 03
取得操作を監査ログで追跡する
05 — WATCH OUT
理解するときの
注意点
便利な仕組みほど、守備範囲と失敗の前提を明確にします。
広い基本役割を常用しない
OwnerやEditorではなく、用途に合う細かな役割を選びます。
使われていない権限を見直す
一度付けた権限を放置せず、監査結果から定期的に縮小します。
IN ONE SENTENCE
IAMとは？
誰が何をできるかを一元的に管理する仕組み。