AWS IAM権限設計入門｜最小権限の原則でロール・ポリシー・グループを設計する方法

この記事のポイント

・IAMユーザー・グループ・ロール・ポリシーの4要素を正確に理解する
・rootアカウントを封印し、IAMユーザーとMFAで運用する初期設定手順
・最小権限の原則を守るグループ設計と、EC2/S3/RDSへのロール付与の実践
・アクセスキーの代わりにIAMロールを使う設計がなぜセキュアかを理解する

# AWS CLIでIAMユーザーを作成する例
aws iam create-user --user-name admin-miyazaki

# 管理者グループを作成してAdministratorAccessを付与
aws iam create-group --group-name Administrators
aws iam attach-group-policy \
  --group-name Administrators \
  --policy-arn arn:aws:iam::aws:policy/AdministratorAccessAdmin

# ユーザーをグループに追加
aws iam add-user-to-group \
  --user-name admin-miyazaki \
  --group-name Administrators

# Developersグループを作成
aws iam create-group --group-name Developers

# EC2フルアクセスを付与
aws iam attach-group-policy \
  --group-name Developers \
  --policy-arn arn:aws:iam::aws:policy/AmazonEC2FullAccess

# S3フルアクセスを付与
aws iam attach-group-policy \
  --group-name Developers \
  --policy-arn arn:aws:iam::aws:policy/AmazonS3FullAccess

# ユーザーをグループへ追加
aws iam add-user-to-group \
  --user-name dev-yamada \
  --group-name Developers

# グループに付与されたポリシーを確認
aws iam list-attached-group-policies --group-name Developers

{
    "AttachedPolicies": [
        {
            "PolicyName": "AmazonEC2FullAccess",
            "PolicyArn": "arn:aws:iam::aws:policy/AmazonEC2FullAccess"
        },
        {
            "PolicyName": "AmazonS3FullAccess",
            "PolicyArn": "arn:aws:iam::aws:policy/AmazonS3FullAccess"
        }
    ]
}

# NG: アクセスキーをファイルに保存する方法（絶対にやってはいけない）
# /home/ec2-user/.aws/credentials に書き込む方法
[default]
aws_access_key_id = AKIAXXXXXXXXXXXXXXXX
aws_secret_access_key = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

# IAMロールを作成（EC2が引き受けられる信頼ポリシー付き）
aws iam create-role \
  --role-name EC2-S3ReadOnly-Role \
  --assume-role-policy-document '{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "ec2.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }'

# S3読み取り専用ポリシーをロールにアタッチ
aws iam attach-role-policy \
  --role-name EC2-S3ReadOnly-Role \
  --policy-arn arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess

# インスタンスプロファイルを作成してロールを関連付け
aws iam create-instance-profile \
  --instance-profile-name EC2-S3ReadOnly-Profile

aws iam add-role-to-instance-profile \
  --instance-profile-name EC2-S3ReadOnly-Profile \
  --role-name EC2-S3ReadOnly-Role

# EC2インスタンス内（アクセスキー設定なし）でのS3操作例
# IAMロールがメタデータサービス経由で自動的に一時クレデンシャルを提供する

[ec2-user@ip-10-0-1-xx ~]$ aws s3 ls s3://my-bucket-name/
2026-06-20 09:15:23      12345 backup-20260620.tar.gz
2026-06-21 09:10:44      13021 backup-20260621.tar.gz
2026-06-22 09:08:31      12899 backup-20260622.tar.gz

# 一時クレデンシャルの確認（メタデータサービスから自動取得されている）
[ec2-user@ip-10-0-1-xx ~]$ curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/EC2-S3ReadOnly-Role | python3 -m json.tool
{
    "Code": "Success",
    "LastUpdated": "2026-06-27T02:15:00Z",
    "Type": "AWS-HMAC",
    "AccessKeyId": "ASIA...",
    "SecretAccessKey": "xxxx...",
    "Token": "xxxx...",
    "Expiration": "2026-06-27T08:30:00Z"
}

# カスタムポリシーをJSONで定義する（policy.json）
cat << 'EOF' > /tmp/s3-limited-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::my-app-bucket",
        "arn:aws:s3:::my-app-bucket/*"
      ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "s3:DeleteObject",
        "s3:DeleteBucket"
      ],
      "Resource": "*"
    }
  ]
}
EOF

# カスタムポリシーを作成
aws iam create-policy \
  --policy-name S3AppBucketLimitedAccess \
  --policy-document file:///tmp/s3-limited-policy.json

# 出力例
{
    "Policy": {
        "PolicyName": "S3AppBucketLimitedAccess",
        "Arn": "arn:aws:iam::123456789012:policy/S3AppBucketLimitedAccess",
        "CreateDate": "2026-06-27T05:00:00+00:00"
    }
}

# エラー例
An error occurred (AccessDenied) when calling the ListBuckets operation:
User: arn:aws:iam::123456789012:user/dev-yamada is not authorized
to perform: s3:ListAllMyBuckets on resource: *

# 調査手順1: 対象ユーザーのポリシーを確認
aws iam list-attached-user-policies --user-name dev-yamada
aws iam list-groups-for-user --user-name dev-yamada

# 調査手順2: グループのポリシーを確認
aws iam list-attached-group-policies --group-name Developers

# 調査手順3: IAM Policy Simulatorで権限確認
# コンソールから「IAM → ポリシーシミュレーター」で特定アクションが
# 許可されているか事前確認できる

# ロールの信頼ポリシーを確認するコマンド
aws iam get-role --role-name EC2-S3ReadOnly-Role \
  --query 'Role.AssumeRolePolicyDocument'

# 出力例（正しい設定）
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ec2.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

# 過去24時間のIAM操作を確認（CLIで簡易確認）
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=EventSource,AttributeValue=iam.amazonaws.com \
  --start-time $(date -d '24 hours ago' --iso-8601=seconds) \
  --query 'Events[*].[EventTime,EventName,Username]' \
  --output table

# 出力例（実サーバー確認済み）
------------------------------------------------------
|                   LookupEvents                     |
+--------------------------+------------------+------+
|  2026-06-27T05:12:00     |  AttachGroupPolicy | admin-miyazaki |
|  2026-06-27T04:55:30     |  CreateUser        | admin-miyazaki |
|  2026-06-27T04:50:15     |  CreateGroup       | admin-miyazaki |
+--------------------------+------------------+------+