ある企業のプラットフォームチームは、開発者がEC2インスタンスやLambda関数用のIAMロールを自ら作成できるように権限を付与したいと考えています。しかし、セキュリティチームは「権限昇格」（Privilege Esca

Question

ある企業のプラットフォームチームは、開発者がEC2インスタンスやLambda関数用のIAMロールを自ら作成できるように権限を付与したいと考えています。しかし、セキュリティチームは「権限昇格」（Privilege Escalation：本来持つべき権限を超えた権限を不正に取得すること）のリスクを懸念しています。例えば、開発者自身はS3とDynamoDBへのアクセス権限しか持っていないにもかかわらず、AdministratorAccessポリシーをアタッチしたIAMロールを作成し、そのロールを引き受けることで事実上の管理者権限を得てしまう可能性があります。開発者が作成するIAMロールに付与できる最大権限を開発者自身の権限範囲内に制限するために使用すべきIAMの機能はどれですか？

Accepted Answer

正解: IAMパーミッションバウンダリー（Permission Boundaries：権限境界）を使用して、開発者が作成するIAMエンティティに付与できる最大権限の上限を定義する。IAMパーミッションバウンダリーは、IAMエンティティ（ユーザー・ロール）が持てる有効権限の上限を定義するマネージドポリシーです。開発者がiam:CreateRoleを実行する際に特定のバウンダリーポリシーの付与を条件として強制することで、仮にAdministratorAccessをアタッチしても実効権限はバウンダリーポリシーの範囲内に制限されます。これが権限昇格防止に特化した正しいIAM機能です。

選択肢AのService Control Policies（SCP）はアカウント・OU単位のガードレールであり細粒度の制御には向いていません。また管理者自身がAdministratorAccessを使う正当なユースケースも制限してしまう可能性があります。

選択肢CのIAMロールの信頼ポリシー（Trust Policy）はどのプリンシパルがロールを引き受けられるかを制御するものであり、ロール自体に付与されるIAMポリシーの権限範囲を制限する機能ではありません。

選択肢DのAWS Organizationsのタグポリシーはタグ付けの標準化を強制するガバナンス機能であり、IAMロールに付与されるポリシーの権限スコープを制限する機能は持ちません。

Answer

Service Control Policies（SCP）を使用して、開発者が所属するOUのアカウント全体でAdministratorAccessポリシーのアタッチを禁止する — Service Control Policies（SCP）はアカウント・OU単位のガードレールであり細粒度の制御には向いていません。また管理者自身がAdministratorAccessを使う正当なユースケースも制限してしまう可能性があります。

Answer

IAMロールの信頼ポリシー（Trust Policy）を設定して、作成されたロールを引き受けられるプリンシパルを特定のサービスのみに制限する — IAMロールの信頼ポリシー（Trust Policy）はどのプリンシパルがロールを引き受けられるかを制御するものであり、ロール自体に付与されるIAMポリシーの権限範囲を制限する機能ではありません。

Answer

AWS Organizationsのタグポリシーを使用して、承認済みタグが付いたIAMロールのみ作成を許可する — AWS Organizationsのタグポリシーはタグ付けの標準化を強制するガバナンス機能であり、IAMロールに付与されるポリシーの権限スコープを制限する機能は持ちません。

解説

解説