ラボ概要
このラボでは、特定の権限を持つ IAM ロールを作成し、STS の AssumeRole を使って一時的な認証情報を取得します。「誰がロールを引き受けられるか」を定める信頼ポリシーと、「ロールに何ができるか」を定める権限ポリシーの違いを、実際にロールを切り替えながら体感します。
学習目標
- IAM ロールの「信頼ポリシー」と「権限ポリシー」の役割の違いを説明できる
- 自アカウント内の主体を信頼するロールを作成できる
- STS AssumeRole で一時的な認証情報（アクセスキー・シークレットキー・セッショントークン）を取得できる
- 権限ポリシーで許可された操作のみがロールで実行できることを確認できる
前提知識
- AWS マネジメントコンソールの基本操作
- JSON の読み書き（ポリシードキュメントを編集します）
ラボの構成
- 1自分の現在の ID（ARN）を確認する
- 2ロールの動作確認に使う S3 バケットを用意する
- 3IAM ロールを作成する（信頼ポリシー）
- 4権限ポリシーをアタッチする
- 5ロールに名前を付けて作成する
- 6STS AssumeRole で一時認証情報を取得する
- 7取得した認証情報でロールに切り替える
- 8権限の違いを確認する
- 9動作確認
- 10完了チェックリスト
- 11後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- AWS IAM ドキュメント — IAM ロール・信頼ポリシー・権限ポリシーの公式ユーザーガイド
- AWS STS ドキュメント — AssumeRole で一時認証情報を取得する STS の API リファレンス
- IAM ロール — ロールの仕組みと信頼ポリシーの考え方を解説
- AWS CloudShell ドキュメント — ブラウザ上の CLI 環境からコマンドを実行する手順
- Amazon S3 ドキュメント — バケット作成・一覧など S3 の基本操作リファレンス
- AmazonS3ReadOnlyAccess マネージドポリシー — ラボでアタッチする S3 読み取り専用ポリシーの内容