アイデンティティを使用した認証 - AWS Security Incident Response ユーザーガイド

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

アイデンティティを使用した認証

認証とは、ID 認証情報 AWS を使用して にサインインする方法です。 AWS アカウントのルートユーザーとして、IAM ユーザーとして、または IAM ロールを引き受けることによって、認証 ( にサインイン AWS) されている必要があります。

ID ソースを通じて提供された認証情報を使用して、フェデレーティッド ID AWS として にサインインできます。 AWS IAM Identity Center (IAM Identity Center) ユーザー、会社のシングルサインオン認証、Google または Facebook 認証情報は、フェデレーティッド ID の例です。フェデレーティッド ID としてサインインする場合、IAM ロールを使用して、前もって管理者により ID フェデレーションが設定されています。フェデレーション AWS を使用して にアクセスすると、間接的にロールを引き受けます。

ユーザーのタイプに応じて、 AWS マネジメントコンソールまたは AWS アクセスポータルにサインインできます。へのサインインの詳細については AWS、「 サインインユーザーガイド」の AWS 「アカウントにサインインする方法」を参照してください。AWS

AWS プログラムで にアクセスする場合、 は Software Development Kit (SDK) とコマンドラインインターフェイス (CLI) AWS を提供し、認証情報を使用してリクエストに暗号で署名します。 AWS ツールを使用しない場合は、自分でリクエストに署名する必要があります。リクエストに署名する推奨方法の使用については、「IAM ユーザーガイド」の「AWS  API リクエストの署名」を参照してください。

使用する認証方法にかかわらず、追加のセキュリティ情報の提供が必要になる場合があります。例えば、 では、アカウントのセキュリティを強化するために多要素認証 (MFA) を使用する AWS ことをお勧めします。詳細については、AWS 「IAM Identity Center ユーザーガイド」の「多要素認証」および「IAM ユーザーガイド」の「多要素認証 (MFA) の使用 AWS」を参照してください。

AWS アカウントのルートユーザー

AWS アカウントを作成するときは、アカウント内のすべての AWS サービスとリソースへの完全なアクセス権を持つ 1 つのサインインアイデンティティから始めます。この ID は AWS accountroot ユーザーと呼ばれ、アカウントの作成に使用した E メールアドレスとパスワードでサインインすることでアクセスできます。日常的なタスクにルートユーザーを決して使用せず、ルートユーザーの認証情報を保護する手順を実行してください。ルートユーザーのみが実行できるタスクの実行にのみ使用します。ルートユーザーとしてサインインする必要があるタスクの完全なリストについては、「IAM ユーザーガイド」の「ルートユーザー認証情報が必要なタスク」を参照してください。

フェデレーティッドアイデンティティ

管理者アクセスを必要とするユーザーを含む人間のユーザーに、ID プロバイダーとのフェデレーションを使用して一時的な認証情報を使用して AWS サービスにアクセスするように要求するのがベストプラクティスです。

フェデレーティッドアイデンティティは、エンタープライズユーザーディレクトリ、ウェブアイデンティティプロバイダー、 AWS Directory Service、 Identity Center ディレクトリのユーザー、または ID ソースを通じて提供された認証情報を使用して AWS サービスにアクセスするユーザーです。フェデレーティッドアイデンティティがアカウントにアクセスする AWS と、ロールを引き受け、ロールは一時的な認証情報を提供します。

一元的なアクセス管理を行うには、IAM Identity Center を使用する AWS ことをお勧めします。IAM Identity Center でユーザーとグループを作成することも、すべての AWS アカウントとアプリケーションで使用できるように、独自の ID ソース内のユーザーとグループのセットに接続して同期することもできます。IAM Identity Center の詳細については、IAM Identity Center ユーザーガイドの「IAM Identity Center とは」を参照してください。AWS

IAM ユーザーとグループ

IAM ユーザーは、単一のユーザーまたはアプリケーションに特定のアクセス許可を持つ AWS アカウント内のアイデンティティです。パスワードやアクセスキーなどの長期的な認証情報を持つ IAM ユーザーを作成する代わりに、一時的な認証情報を使用することをお勧めします。IAM ユーザーとの長期的な認証情報を必要とする特定のユースケースがある場合は、アクセスキーをローテーションすることをお勧めします。詳細については、「IAM ユーザーガイド」の「長期的な認証情報を必要とするユースケースのためにアクセスキーを定期的にローテーションする」を参照してください。

IAM グループは、IAM ユーザーのコレクションを指定する ID です。グループとしてサインインすることはできません。グループを使用して、複数のユーザーに対して一度に権限を指定できます。多数のユーザーグループがある場合、グループを使用することで権限の管理が容易になります。例えば、IAMAdmins という名前のグループを設定して、そのグループに IAM リソースを管理する許可を与えることができます。

ユーザーは、ロールとは異なります。ユーザーは 1 人の人または 1 つのアプリケーションに一意に関連付けられますが、ロールはそれを必要とする任意の人が引き受けるようになっています。ユーザーには永続的な長期の認証情報がありますが、ロールでは一時的な認証情報が提供されます。詳細については、「IAM ユーザーガイド」の「IAM ユーザーを (ロールではなく) 作成するタイミング」を参照してください。

IAM ロール

IAM ロールは、特定のアクセス許可を持つ AWS アカウント内のアイデンティティです。これは IAM ユーザーに似ていますが、特定のユーザーには関連付けられていません。ロールを切り替えることで、 AWS マネジメントコンソールで IAM ロールを一時的に引き受けることができます。https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.htmlロールを引き受けるには、 CLI または AWS API AWS オペレーションを呼び出すか、カスタム URL を使用します。ロールを使用する方法の詳細については、「IAM ユーザーガイド」の「IAM ロールの使用」を参照してください。

IAM ロールと一時的な認証情報は、次の状況で役立ちます:

  • フェデレーティッドユーザーアクセス – フェデレーティッドアイデンティティにアクセス許可を割り当てるには、ロールを作成し、そのロールのアクセス許可を定義します。フェデレーティッド ID が認証されると、その ID はロールに関連付けられ、ロールで定義されている許可が付与されます。フェデレーションのロールの詳細については、IAM ユーザーガイドの「サードパーティー ID プロバイダーのロールの作成」を参照してください。IAM アイデンティティセンターを使用する場合は、アクセス許可セットを設定します。アイデンティティが認証後にアクセスできるものを制御するため、IAM Identity Center は、権限セットを IAM のロールに関連付けます。アクセス許可セットの詳細については、AWS 「IAM Identity Center ユーザーガイド」の「アクセス許可セット」を参照してください。

  • 一時的な IAM ユーザーアクセス許可 – IAM ユーザーまたはロールは、IAM ロールを引き受けて、特定のタスクに対して異なるアクセス許可を一時的に引き受けることができます。

  • クロスアカウントアクセス – IAM ロールを使用して、別のアカウントのユーザー (信頼されたプリンシパル) が自分のアカウントのリソースにアクセスすることを許可できます。クロスアカウントアクセス権を付与する主な方法は、ロールを使用することです。ただし、一部の AWS サービスでは、（ロールをプロキシとして使用する代わりに) リソースに直接ポリシーをアタッチできます。クロスアカウントアクセスにおけるロールとリソースベースのポリシーの違いについては、「IAM ユーザーガイド」の「IAM でのクロスアカウントのリソースへのアクセス」を参照してください。

  • クロスサービスアクセス — 一部の AWS サービスは、他の AWS サービスの機能を使用します。例えば、あるサービスで呼び出しを行うと、通常そのサービスによって Amazon EC2 でアプリケーションが実行されたり、Amazon S3 にオブジェクトが保存されたりします。サービスでは、呼び出し元プリンシパルの許可、サービスロール、またはサービスリンクロールを使用してこれを行う場合があります。

    • サービスロール – サービスロールは、サービスがユーザーに代わってアクションを実行するために引き受ける IAM ロールです。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除することができます。詳細については、『IAM ユーザーガイド』の「AWS のサービスにアクセス許可を委任するロールの作成」を参照してください。

    • サービスにリンクされたロール – サービスにリンクされたロールは、 サービスにリンクされた AWS サービスロールの一種です。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは AWS アカウントに表示され、 サービスによって所有されます。IAM 管理者は、サービスリンクロールのアクセス許可を表示できますが、編集することはできません。

  • Amazon EC2 で実行されているアプリケーション – IAM ロールを使用して、EC2 インスタンスで実行され、CLI または AWS API AWS リクエストを実行しているアプリケーションの一時的な認証情報を管理できます。これは、EC2 インスタンス内でのアクセスキーの保存に推奨されます。EC2 インスタンスに AWS ロールを割り当て、そのアプリケーションで使用できるようにするには、インスタンスにアタッチされたインスタンスプロファイルを作成します。インスタンスプロファイルにはロールが含まれ、EC2 インスタンスで実行されるプログラムは一時的な認証情報を取得できます。詳細については、IAM ユーザーガイドのAmazon EC2 インスタンスで実行されるアプリケーションに IAM ロールを使用して許可を付与するを参照してください。

IAM ロールと IAM ユーザーのどちらを使用するかについては、IAM ユーザーガイドの「IAM ロールを作成するタイミング (ユーザーではなく）」を参照してください。