はじめに
本記事の目的
この連載では、AWSでのユーザー管理をわかりやすく解説します。基本となるIAMユーザーの作り方と権限設定、複数アカウントをまとめて管理するIAM Identity Centerの活用法、最後にAWSマネジメントコンソールへの安全なログイン手順まで、順を追って学べます。
対象読者
クラウド初心者から運用担当者まで幅広く想定します。専門用語は必要最小限にとどめ、具体例を交えて説明します。実務で役立つ手順を重視しますので、すぐに試せます。
読み方のポイント
各章は独立して読めますが、順番に読むと理解が深まります。画面操作や設定の手順は図やスクリーンショットを併用するとより分かりやすくなります。実際に操作する前に、まずは本記事で概念をつかんでください。
本連載で得られること
- IAMユーザーの基本理解と実用的な作成・権限付与の方法
- IAM Identity Centerを使ったマルチアカウント管理の考え方
- 安全なログイン手順と注意点
これから一緒に進めていきましょう。
AWS IAMユーザーの基本と実践的アプローチ
IAMユーザーとは
AWSのアカウント内で操作する個々の「人」や「サービス」を表す単位です。ログインする人にはコンソール用の認証情報、プログラムから使うアプリにはアクセスキーを発行します。例：開発者Aにはコンソールアクセス、CIはアクセスキーでAPI操作します。
管理ポリシーの種類
- AWS管理ポリシー：AWSが用意した定型の権限。すぐ使えます。
- カスタマー管理ポリシー：組織に合わせた独自ポリシーを作成できます。
具体例：S3読み取り専用は既存ポリシーを使い、特別な制限はカスタムで作る、という選び方が実務的です。
ユーザー作成の手順（実践）
- 管理者権限のユーザーでAWSコンソールにログインします。
- IAMダッシュボードで「ユーザーを追加」を選び、ユーザー名を入力します（次項の命名規則に従う）。
- コンソールアクセスやプログラムmaticアクセスの有無を選びます。
- グループへ追加するか、ポリシーを直接アタッチします。
ユーザー名と命名規則
ユーザー名は一意にします。例：姓_名（taro_yamada）、役割を含める場合は開発者_jpなど、組織でルールを決めて統一します。
権限割り当ての実務ポイント
- グループ管理を推奨します。複数ユーザーの権限変更が簡単になります。
- 必要最小限の権限（最小権限原則）を守ります。
- 一部の特権は個別に直接付与せず、ロールやグループで管理します。
運用上の注意点
- MFA（多要素認証）を有効にしてください。
- アクセスキーは定期的にローテーションし、不要なら削除します。
- CloudTrailやアクセスログで操作を監視します。
IAM Identity Centerを利用したマルチアカウント環境の一元管理
概要
IAM Identity Center（旧SSO）は、複数のAWSアカウントやクラウドアプリへのアクセスを一元管理するサービスです。ユーザーは短時間のセッションで各アカウントへサインオンでき、長期的なアクセスキーを配布する必要が減ります。
IAMユーザーとの違い
- IAMユーザーは各アカウント内で管理し、長期認証情報を使います。
- Identity Centerは中央でユーザー・グループ・許可セットを定義し、複数アカウントへ割り当てます。外部ディレクトリ（例: Azure AD）とも連携できます。
導入の基本手順
- 管理アカウントでIdentity Centerを有効化する。2. アイデンティティソースを設定（内部ディレクトリか外部ID）。3. ユーザーとグループを作成または同期。4. 許可セット（権限テンプレート）を作成。5. グループに許可セットをメンバーアカウントへ割り当て。
具体例
開発チームに「S3読み書き」、運用チームに「EC2フルアクセス」の許可セットを作り、複数アカウントの該当グループへ一括割当てします。管理者は管理アカウントから権限委任を行い、個別アカウントでの設定作業を減らせます。
運用のポイント
- 最小権限を基本に許可セットを細分化します。セッションの有効期限を短めに設定すると安全性が上がります。ログとアクセス履歴をCloudTrailで監査してください。
AWSマネジメントコンソールへのログイン方法
はじめに
IAMユーザーでのログインは、アカウント専用のサインインURLを使います。ここでは基本的な手順、初期セットアップ、業務別ユーザー作成のポイントを分かりやすく説明します。
サインインURLとログイン手順
- サインインURLを用意します。形式の例：
- https://123456789012.signin.aws.amazon.com/console
- https://your-alias.signin.aws.amazon.com/console
- URLを開き、ユーザー名とパスワードを入力します。MFA（多要素認証）を設定している場合は追加のコードを入力します。
初期セットアップ（管理者ユーザーの作成）
- ルートアカウントでサインインします（メールアドレスとパスワード）。
- IAMコンソールで「ユーザーの追加」を選びます。
- わかりやすいユーザー名を付け、コンソールアクセスを有効にします。
- 管理権限が必要な場合はAdministratorAccessポリシーを付与します（例：user名「admin」）。
- 初回パスワードやMFAを設定し、パスワードポリシーを有効にします。
業務別ユーザー作成と権限管理
- 開発者は必要なサービスだけにアクセスできるようにし、管理者権限は与えないでください。例：CloudWatchやEC2の操作が必要な開発者には個別のポリシーを付与します。
- 監視担当には読み取り専用のポリシー（CloudWatchReadOnlyAccess等）を付けます。
- グループを使って役割ごとの権限を一括管理すると運用が楽になります。
補足（ルートアカウントとセキュリティ）
ルートアカウントは課金操作などにのみ使い、日常の操作はIAMユーザーで行ってください。ルートとIAMユーザーの両方でMFAを有効にし、強いパスワードと定期的な見直しを行ってください。
