権限セットを使用して AWS アカウントを管理する

アクセス権限セットは、1 つまたは複数の [IAM policies] (IAM ポリシー) のコレクションの定義を作成および維持するテンプレートです。アクセス権限セットは、組織内のユーザーやグループに AWS アカウント のアクセス権を簡単に割り当てることができます。例えば、AWS RDS、DynamoDB、および Aurora サービスを管理するためのポリシーを含むデータベース管理者アクセス許可セットを作成し、その単一のアクセス許可セットを使用して、AWS組織 内のターゲット AWS アカウント のリストへのアクセスをデータベース管理者に付与できます。

IAM Identity Center は、アクセス権限セットを使用して 1 つ以上 AWS アカウント のユーザーまたはグループにアクセス権を割り当てます。アクセス権限セットを割り当てると、IAM Identity Center は、対応する IAM Identity Center 制御の IAM ロールを各アカウントに作成し、アクセス権限セットで指定されたポリシーをそれらのロールに適用します。IAM Identity Center はロールを管理し、IAM Identity Center ユーザーポータルまたは AWS CLI を使用して、定義した承認済みユーザーがロールを引き受けることを許可します。 アクセス権限セットを変更すると、IAM Identity Center は、対応する IAM ポリシーとロールがそれに応じて更新されることを保証します。

アクセス許可セットには、AWS マネージドポリシー、カスタマー管理ポリシー、インラインポリシー、およびAWS 職務機能の管理ポリシーを追加できます。アクセス許可の境界として、AWS マネージドポリシーまたはカスタマー管理ポリシーを割り当てることもできます。

アクセス権限セットを作成するには、「アクセス許可セットの作成、管理と削除」を参照してください。

アクセス管理で、カスタム信頼ポリシー、ロールタグ、設定可能なロールパスなど、アクセス許可セットが提供する機能を超える機能が必要な場合は、IAM でアカウントアクセスマネージャーを使用できます。アカウントアクセスマネージャーを使用すると、既存の IAM ロールを IAM Identity Center のユーザーやグループに割り当てることができます。それを個別に使用するか、アクセス許可セットと組み合わせて使用することにより、IAM ロールの全機能セットにアクセスできます。

最小特権権のアクセス許可を適用するアクセス許可セットを作成する

最小特権のアクセス許可を適用するというベストプラクティスに従うには、管理権許可セットを作成した後に、より制限の厳しいアクセス許可セットを作成して 1 人以上のユーザーに割り当てます。前の手順で作成したアクセス許可セットは、ユーザが必要とするリソースへのアクセス量を評価するための出発点となります。最小特権のアクセス許可に切り替えるには、IAM Access Analyzer を実行して、AWS マネージドポリシーを持つプリンシパルをモニタリングできます。どのアクセス許可を使用しているかを学習したら、カスタムポリシーを作成するか、チームに必要なアクセス許可のみを持つポリシーを生成できます。

IAM Identity Center を使用すると、同じユーザーに複数のアクセス権限セットを割り当てることができます。管理ユーザーには、より制限の厳しいアクセス許可セットを追加で割り当てる必要もあります。そうすれば、常に管理アクセス許可を使用するのではなく、必要な権限のみで AWS アカウント にアクセスできるようになります。

例えば、開発者の場合、IAM アイデンティティセンターで管理ユーザーを作成した後に、PowerUserAccess アクセス許可を付与する新しいアクセス許可セットを作成し、そのアクセス許可セットを自身に割り当てることができます。AdministratorAccess 権限を使用する管理者権限セットとは異なり、PowerUserAccess 権限セットでは IAM ユーザーとグループの管理はできません。AWS　アクセスポータルにサインインして AWS アカウントにアクセスする場合、PowerUserAccessではなく、AdministratorAccess アカウントで開発タスクを実行することを選択できます。

次の考慮事項に注意が必要です。