AWSにIAM以外のロールだったり認証情報的な要素は存在しない？

質問

AWSにIAM以外のロールだったり認証情報的な要素は存在しないんですか？

独学合格 AWS認定 AIプラクティショナー テキスト＆問題集 [ 小池　歩 ] 価格:2750円 (2026/5/10 11:50時点) 感想(0件)

解答

あります。AWSではIAMが中心ですが、実際には「認証・認可・権限委譲」に関わる仕組みがかなり複数あります。 ただ、AWSは基本思想として「最終的にIAMに収束させる」傾向が強いです。 整理すると分かりやすいです。 まずIAMの中にも複数ある IAMという言葉が広すぎるので混乱しやすいですが、IAM配下だけでも： IAM User IAM Role IAM Policy IAM Group STS（一時認証） Instance Profile などがあります。 特に実務で重要なのは、 「長期キーを避けてRoleを使う」 という思想です。 IAM以外の認証・認可要素 1. Cognito エンドユーザー認証です。 例えば： Webログイン モバイルアプリ Googleログイン連携 JWT発行 など。 IAMは「AWSリソース用」ですが、 Cognitoは「アプリ利用者用」に近いです。 ただし最終的に： Cognito → IAM Role委譲 することが多いです。 2. Resource-based Policy これはかなり重要です。 S3 Bucket Policy Lambda Resource Policy KMS Key Policy など。 IAMユーザー側ではなく、 “リソース側”に権限を書く方式です。 例えば： 「このS3バケットはこのAWSアカウントからアクセス許可」 みたいな感じ。 3. KMS（鍵管理） 認証そのものではないですが、 実質的にアクセス制御要素です。 KMSキーを使えるかどうかで、 データを読める/読めない が決まります。 つまり： IAM + KMS の二段階になることが多い。 4. Secrets Manager / Parameter Store 認証情報の保管です。 DBパスワード APIキー OAuth秘密鍵 など。 IAMは「誰が使えるか」を決め、 Secrets Managerは「秘密そのもの」を管理します。 5. STS（Security Token Service） 超重要です。 一時的認証情報を発行します。 例えば： AssumeRole クロスアカウント MFA後だけ強権限 EC2/ECSの一時資格情報 など。 現代AWSはかなりSTS中心です。 6. EC2 Instance Metadata Service (IMDS) EC2内部専用の資格情報取得機構です。 EC2に付与されたRoleの一時クレデンシャルを取得します。 つまり： EC2自身がAWS APIを叩ける。 裏では： IMDS → STS → 一時認証情報 みたいな流れです。 7. IAM Identity Center（旧AWS SSO） 組織向けログイン統合です。 SAML Entra ID Okta 社内IdP などと連携します。 多数アカウント管理では非常に重要。 AWSの思想 AWSはかなり一貫していて、 長期キーは危険 ↓ できるだけ短命化 ↓ Role + STSへ寄せる という方向に進んでいます。 つまり、 「秘密鍵を配る世界」から、 「一時的に権限を借りる世界」 へ移行している。 実務で多い構成 例えばECSなら： Task ↓ Task Role ↓ STS一時資格情報 ↓ S3アクセス となります。 アプリにアクセスキーを書かない。 重要な整理 AWSでは： 認証（誰？） 認可（何していい？） 秘密情報管理 一時資格情報 外部IdP連携 が分かれていて、 IAMはその中心ハブみたいな存在です。 なので、 「IAMだけ」 というより、 IAMを中心に複数機構が連携している という理解がかなり実態に近いです。

図解即戦力　Google Cloudのしくみと技術がこれ1冊でしっかりわかる教科書【電子書籍】[ 株式会社grasys ] 価格:2728円 (2025/9/19 19:44時点) 感想(0件)

Amazon Bedrock 生成AIアプリ開発入門 ［AWS深掘りガイド］ 【電子書籍】[ 御田 稔 ] 価格:3850円 (2026/5/10 11:47時点) 感想(0件)

にほんブログ村