ある企業が AWS Organizations で複数の開発チームアカウントを管理しています。セキュリティ要件として「開発者が Lambda 用 IAM ロールを自律的に作成できること」と「開発者自身の権限を超えたロール

Question

ある企業が AWS Organizations で複数の開発チームアカウントを管理しています。セキュリティ要件として「開発者が Lambda 用 IAM ロールを自律的に作成できること」と「開発者自身の権限を超えたロールを作成できないこと（権限昇格の防止）」を同時に実現する必要があります。最小の運用負荷で両要件を満たす設計として最も適切なものはどれですか。

Accepted Answer

正解: 開発者に Permission Boundary をアタッチし、iam:CreateRole 実行時に同じ Boundary の付与を強制する SCP を組織に適用する。Permission Boundary は IAM エンティティの最大権限を上限設定するポリシーで、開発者が自身の上限を超えたロールを作成できなくなる。SCP で Boundary 付与を強制することで組織全体に展開できる。

Answer

SCP の明示的許可リストで開発者が操作できる IAM アクション範囲を組織全体で定義し、過剰な権限付与を事前に遮断する — SCP の許可リストはアカウント全体の操作を制限するが、許可範囲内で開発者が自分より強いロールを作成する問題は防げない。

Answer

IAM Access Analyzer を有効化し、過剰権限ロールの検出時に EventBridge Rules と Lambda で自動削除するパイプラインを各アカウントに構築する — IAM Access Analyzer は外部アクセス分析ツールであり、権限昇格の事前防止ではなく事後検出のため要件を満たさない。

Answer

iam:CreateRole を SCP で全メンバーアカウントに Deny し、ロール作成は Service Catalog 経由の申請ワークフローで一元管理する — Service Catalog によるロール集中管理は運用負荷が高く、「開発者が自律的に作成できること」という要件も満たさない。

解説