IAM（アイデンティティとアクセス管理） とは？

パスワード管理はIAMの一部でしかないよ。IAMは「認証（あなたは誰？）」と「認可（あなたは何ができる？）」の両方を扱うんだ。例えばAWS IAMなら、Aさんは「S3の読み取りだけ」、Bさんは「EC2の起動と停止ができる」みたいに、操作単位で細かく権限を設定できる。

ユーザーは人間に紐づくアカウント。ロールは「権限の帽子」みたいなもので、必要なときにかぶって使う。例えばEC2インスタンスにロールを付けると、そのインスタンス上のプログラムがS3にアクセスできるようになる。アクセスキーを直接埋め込むより安全なんだ。

最初は必要な権限だけを付けて、足りなかったら追加する。AWSにはIAM Access Analyzerという機能があって、実際に使われた権限のログから「この権限は不要です」と教えてくれるんだよ。

これがIAMの怖いところでね。ポリシーの「Resource」に「*」と書くと全リソースに適用されるし、「Effect: Allow」と「Effect: Deny」の組み合わせの評価順序を間違えると意図しないアクセスを許可してしまう。特にDenyは常にAllowに勝つんだけど、条件キーやリソースベースポリシーとの組み合わせになると、ベテランでも評価結果を直感で当てられなくなる。AWSのポリシーシミュレーターで事前にテストするのが鉄則なんだよ。