IAMとは

詳細な図解

IAMを読むときの前提

IAM（Identity and Access Management）は、利用者、サービスアカウント、ロール、ポリシー、グループを管理し、誰に何を許すかを制御する仕組みです。

クラウド、SaaS、管理画面、API、CI/CDで使われます。実務では、最小権限、MFA、ロール設計、権限継承、サービスアカウント、監査ログ、棚卸しをまとめて確認します。

証跡には、主体、付与権限、付与理由、承認者、期限、MFA条件、利用実績、未使用権限、削除履歴、監査ログ保存先を残します。

最小権限から始める

IAMでは、作業に必要な対象、操作、期間だけを許可します。Administrator相当の権限を一時作業者へ渡す場合は、作業後の削除漏れが重大リスクになります。

読み取り、変更、削除、権限付与を分け、強い操作にはMFAや承認を追加します。サービスアカウントにも人と同じように所有者と用途を持たせます。

• 対象リソースと操作を分ける。
• 強権限に期限を付ける。
• サービスアカウントの所有者を残す。

ロールとポリシーを棚卸しする

IAMは時間が経つほど例外権限や直接付与が増えます。ロール、グループ、ポリシー、個別付与を分けて、利用実績と業務上の必要性を確認します。

未使用権限、退職者、異動者、期限切れ例外、古いAPIキーを削除します。削除前後の業務影響も記録します。

• 直接付与とロール付与を分ける。
• 未使用権限を抽出する。
• 削除前に所有者へ確認する。

監査ログと復旧手順を見る

IAMの変更は、侵害調査や監査で必ず確認されます。誰が、いつ、どの権限を、誰へ付与したかを追跡できる状態にします。

誤って管理者権限を失った場合に備え、ブレークグラスや復旧手順も管理します。ただし緊急用アカウントの常用は避けます。

• 権限変更ログを保存する。
• 監査ログの保存期間を決める。
• 緊急復旧手順を定期確認する。

変更証跡と引き継ぎ

IAM変更では、付与理由、承認、期限、影響範囲、戻し手順を残します。権限は便利さよりも説明可能性が重要です。

引き継ぎでは、システム所有者、権限承認者、監査担当、関連語としてMFA、SSO、RBAC、棚卸しを残すと確認しやすくなります。

• 権限設計書を更新する。
• 例外権限を台帳化する。
• 定期レビューの予定を残す。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能