IAMのポリシーを設定する：AWS Tips

連載目次

IAMのポリシー要素とは

　AWS Identity and Access Management（IAM）でユーザー、グループ、ロールを作成するとき、アクセス許可を割り当てる際にはポリシーを作成し適用します。

　ポリシーとは、JSONフォーマットで記載されたアクセス権限をリスト化したものです。AWSサービス、リソースはアクセス許可を明示的に付与しない限り、アクセスできない（全て不許可）状態にあります。

　ポリシーは「Actions」「Resources」「Effect」「Condition」の4つを使って構成します。Conditionは条件分岐になるため、今回はConditionを除いた3つについて説明をします。

Actions：許可するアクション

　EC2インスタンスをAMIから起動させる「RunInstances」や、EC2インスタンスを止める「StopInstances」などのアクションがあります。アクションは、各サービスが提供するAPIに準拠します。各サービスがどのようなアクションを提供しているかは、各サービスのAPIドキュメントを見るとよいでしょう。

　例えば、IAMのアクションとして記載する場合は以下のように記載します。

　アクション名は「*」を使うことで、文字数不定の任意の文字列にマッチするワイルドカード文字として利用できます。

　上記のパターンだと、EC2が提供するInstanceという文字を含むAPI全てにマッチさせることが可能です。

　対象範囲からアクションを除きたい場合、「NotAction」を使うことができます。フォーマットはactionと同じです。このNotActionを組み合わせることで、ポリシーの記述を短くすることが可能です。

Resources：アクション対象のリソース

　各サービス内で利用できる個々のリソースに、上記のアクションを適用することが可能です。

　個々のサービスによってARNの使い方は異なります。例えば、Elastic Beanstalkは上記に追加して、環境名やバージョン名も含むことが可能です。

　リソースを対象範囲から除きたい場合、「NotResource」を使うことができます。フォーマットはResourceと同じです。NotResourceを組み合わせることで、ポリシーの記述を短くすることが可能です。

　リソースでは、以下のポリシー変数を利用できます。

　なお、SAML連携のポリシー変数に関しては、ドキュメント「IAM ポリシーエレメントの参照」をご覧ください。

Effect：ユーザーがアクセスを要求した時の動作

　Effectでは、ユーザーがアクセスした際の動作を定義します。Allow（許可）かDeny（不許可）を選択します。

　AWSサービスは、デフォルトではリソースに対するユーザーからのアクセスは拒否されるよう設計されているので、リソースへのアクセスを許可する場合は明示的に指定する必要があります。

　以下の記述では、EC2全てのアクションを許可するが、リザーブドインスタンス関連の全て、またインスタンスを終了させることを禁じています。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "ec2:*",
      "Effect": "Allow",
      "Resource": "*"
    },
   {
        "Effect": "Deny",
        "Action": [
        "ec2:*ReservedInstances*",
        "ec2:TerminateInstances"
        ],
        "Resource": "*"
    }
  ]
}

　IAMのポリシーサンプルが、ドキュメント「AWS リソースの管理に関するポリシーの例」にありますので、一読することをお勧めします。