ラボ概要
最小ワークフロー（S3 → SQS → DynamoDB）に対して、リソース ARN で対象を絞り、Condition ブロックでアクセス状況（MFA・暗号化・タグ）まで制御する 最小権限 IAM ポリシー を自分の手で書き、IAM Policy Simulator で実際に許可/拒否を検証します。
このラボには事前構築リソースが含まれます。セッション開始時に CloudFormation スタックが自動デプロイされ、次の 3 つが東京リージョンに用意されています。
- S3 バケット:
clouddo-iam-ingest-<アカウントID>（タグproject=clouddo-iam-lab,env=dev） - SQS キュー:
clouddo-iam-work-queue（タグproject=clouddo-iam-lab,env=dev） - DynamoDB テーブル:
clouddo-iam-jobs（タグproject=clouddo-iam-lab,env=dev）
学習目標
- IAM ポリシーの
Resource要素でワイルドカード(*)を避け、特定 ARN に操作を限定する Condition要素と条件演算子（StringNotEquals/Bool/StringEqualsなど）で「いつ許可・拒否するか」を制御する- リソースタグ条件（
aws:ResourceTag/...）で命名に依存しないスコープを作る - MFA 必須（
aws:MultiFactorAuthPresent）や暗号化必須（s3:x-amz-server-side-encryption）などの安全ガードを表現する - IAM Policy Simulator で、ポリシーを実環境に適用する前に許可/拒否を検証する
ラボの構成
- 1対象リソースの ARN を確認する
- 2「広すぎる」ポリシーをカスタマー管理ポリシーとして作る（出発点）
- 3リソースを ARN で限定した最小権限ポリシーを作る
- 4条件キーでガードを追加する（MFA・暗号化・タグ）
- 5テスト用 IAM ロールにポリシーを付与する
- 6IAM Policy Simulator で許可/拒否を検証する
- 7「広いポリシー」と比較して効果を確認する
- 8動作確認
- 9完了チェックリスト
- 10後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- AWS Identity and Access Management ドキュメント — IAM ポリシー・ロール・条件キーの基礎リファレンス
- IAM ポリシーの条件キー (グローバル条件キー) — aws:MultiFactorAuthPresent や aws:ResourceTag などの条件キー一覧
- IAM Policy Simulator の使い方 — 本番適用前にポリシーの許可/拒否を検証する手順
- Amazon S3 ユーザーガイド — バケット/オブジェクトの ARN 指定とサーバーサイド暗号化の解説
- Amazon SQS デベロッパーガイド — キューのアクセス制御とタグベース認可
- Amazon DynamoDB デベロッパーガイド — テーブル ARN を使った最小権限アクセス制御