ラボ概要
最小権限（least privilege）の原則にもとづき、「特定の S3 バケットの中身を読むことだけができる」アクセスを IAM で組み立てます。カスタマー管理ポリシー → グループ → ユーザーの順に設計し、最後に作成したユーザーで実際にサインインして「読めるが書けない」ことを確かめます。
ラボツールの「AWS マネジメントコンソールを開く」からコンソールへ入ると、学習用の cloud_user で自動サインインします。このラボの大半は cloud_user のセッションで操作し、最後の検証だけ別ウィンドウで作成ユーザーにサインインします。cloud_user のセッションは閉じないでください。
学習目標
- 最小権限ポリシーを JSON で記述し、カスタマー管理ポリシーとして作成できる
- IAM グループにポリシーを紐付け、ユーザーをグループ経由で権限管理できる
- 作成したユーザーで実際にサインインし、「許可される操作」と「拒否される操作」を体験して権限の境界を説明できる
ラボの構成
- 1権限の対象になる S3 バケットを作成
- 2最小権限のカスタマー管理ポリシーを作成
- 3IAM グループを作成しポリシーを紐付け
- 4IAM ユーザーを作成しグループに追加
- 5作成したユーザーでサインインして権限の境界を検証
- 6（任意）IAM ポリシーシミュレータでさらに確認
- 7動作確認
- 8完了チェックリスト
- 9後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- AWS IAM — IAM ユーザー・グループ・ポリシーでアクセスを管理するサービスの製品ページ
- IAM ユーザーガイド — IAM の概念と設計の公式ドキュメント トップ
- IAM のセキュリティのベストプラクティス — 最小権限を含む IAM 推奨事項のガイド
- IAM ポリシーとアクセス許可 — JSON ポリシーの記述と評価（許可/暗黙的な拒否）の解説
- Amazon S3 — 読み取り対象バケットを作成するオブジェクトストレージの製品ページ
- Amazon S3 ユーザーガイド — バケット作成・オブジェクト操作・アクセス制御の公式ドキュメント トップ