IAM(権限)
インスタンスの様子を見ようと、監視のグラフ(→20 監視・アラート)の画面を開いたら「権限がありません」と出ました。隣の先輩には見えています
- IAM(アイアム)は、クラウドの中で「誰が」「どのリソースに」「何をしてよいか」を決めて管理するしくみ
- 許可されていない操作はできない
- 権限は、仕事に必要なぶんだけ渡す(最小権限 →65)
身近な例えで理解する
アルバイトの店員は、レジで会計ができます。でも返品や会計の取り消しは、店長のキーや承認がないとできません。売上の集計を見られるのも店長だけです。
- 店員・店長クラウドを使う人(ユーザー)
- 「会計はできる」「取り消しはできない」人ごとに許された操作
- 仕事に必要な操作だけできる最小権限
- 店長キーのような強い権限何でもできる管理者の権限(なくしたときの被害が大きい)
ちょっと確認
新人:「自分だけこの画面が見られないんです。先輩には見えているのに」まず考えることは?
例えを外して、実際のしくみ
誰が・何に・何を
IAMでは「このユーザーは」「このデータベースに対して」「設定を見るのはよい、削除はだめ」のように決めます。決めた内容を書いたものを、AWSではポリシーと呼びます
許されていない操作はできない
AWSでは、ルートユーザー(下の3)を除き、許可されていない操作は、はじめからすべて拒否されます。だから、権限を付けてもらうまでは、画面が見られない・ボタンが押せないのがふつうです。画面が真っ白になる、ボタンが押せない、「権限がありません(Access Denied など)」と出る場合は、まず自分の権限を疑います。勝手に強い権限を付けるのではなく、管理している人に「何をしたいか」を伝えて、必要なぶんだけ付けてもらいます
必要なぶんだけ渡す
ほかのクラウドでも同じ
Google Cloud にも IAM があり、Azure では Azure RBAC(役割ベースのアクセス制御)という名前で、同じように「誰が・何に・何をできるか」を管理します
このページのまとめ
- IAM
- 誰が・どのリソースに・何をしてよいかを管理するしくみ
- 権限
- 許された操作。ないと画面が見られない・操作できない
- ポリシー
- 許可する(しない)操作を書いたもの(AWSの呼び方)
- 最小権限
- 仕事に必要な操作だけを許すこと
先輩のひとことの意味
先輩「権限が足りないんだね。IAMで、必要な権限だけ足しておくよ」
新人のユーザーには、監視のグラフを見る権限がまだ付いていなかった、という意味です。先輩は、何でもできる強い権限を渡すのではなく、新人の仕事に必要な「自分のシステムの監視グラフを見る」権限だけを足してくれます。
練習問題で確かめる
IAMで決めることとして正しいものは?
参考資料
ご意見・「これで例えて!」を募集しています
ご意見・ご感想・質問・間違いのご指摘など、何でもお気軽にお寄せください。「この言葉も例えで説明してほしい」「こんな例えなら分かりやすい」という声をもとに、新しいページや例えを作ります。
- 説明してほしいITの言葉
- 例えてほしい場面(部活・アルバイト・家事など)
- 分かりにくかったところ・間違いのご指摘
意見箱は準備中です。