ラボ概要
IAM 権限境界(permissions boundary)は、IAM ユーザーやロールに付与できる実効権限の上限を定義するマネージドポリシーです。本ラボでは「権限を委任された管理者」が新しい IAM ロールを作るとき、必ず権限境界を付けさせ、かつその境界を超える権限を渡せないようにする設計を、AWS マネジメントコンソールで手を動かしながら学びます。
学習目標
- 権限境界が「アイデンティティベースポリシー ∩ 権限境界」の論理積で実効権限を決めることを理解する
- 権限境界用のマネージドポリシーを作成する
- 委任管理者ロールに「境界を付けないとロールを作れない」条件付きポリシーを設定する
- 委任管理者になりきって、境界付きロール作成と境界なしロール作成を試し、上限が効くことを検証する
前提
- 学習者は
cloud_userロールでコンソールにサインイン済みです。 - 本ラボのリソースはすべてラボ内で作成します。事前構築や外部リポジトリは不要です。
- このラボで使う識別子(例: 接頭辞
pb-)は、必要に応じて末尾に数字を足して読み替えてかまいません(占有アカウントのため通常は衝突しません)。
ラボの構成
- 1権限境界用のマネージドポリシーを作成する
- 2自分のアカウント ID を確認する
- 3委任管理者ロール用の「強制ポリシー」を作成する
- 4委任管理者ロールを作り、強制ポリシーを付ける
- 5委任管理者ロールに切り替える
- 6検証A: 境界なしでロールを作る → 拒否されることを確認
- 7検証B: 境界付きでロールを作る → 成功することを確認
- 8検証C: 実効権限が境界で頭打ちになっていることを確認
- 9動作確認
- 10完了チェックリスト
- 11後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- IAM 権限境界(Permissions boundaries) — エンティティの実効権限の上限を定義する仕組みの公式解説
- AWS IAM ユーザーガイド — IAM ロール・ポリシー・委任の基礎ドキュメント
- IAM 条件キー リファレンス — iam:PermissionsBoundary など条件キーの一覧と使い方
- IAM ポリシーシミュレーター — 実 API を呼ばずに実効権限を検証するツールの使い方
- AWS STS の AssumeRole — ロール切り替えで一時クレデンシャルを取得する API
- AWS IAM 製品ページ — IAM サービスの概要とユースケース