[AWS Expert Online for JAWS-UG 38] AWS IAM Identity Center 許可セット運用でつまずきやすいポイント

AWS Expert Online for JAWS-UG #38 「AWS IAM Identity Center 許可セット運用でつまずきやすいポイント」の資料です

Transcript

1. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 設定・運用時のよくあるトラブル 3 選と回避策 宮田凌典 Cloud Support Engineer / AWS Japan AWS IAM Identity Center 許可セット運用でつまずきやすいポイント
2. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 自己紹介 宮田凌典 アマゾン ウェブ サービス ジャパン合同会社 技術支援本部 クラウドサポートエンジニア 好きな AWS サービス IAM Identity Center Amazon Bedrock 2
3. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 今日のゴール 3つのつまずきやすいポイントを知り、事前に回避できるようになる 1 カスタマー管理ポリシー がアタッチできない メンバーアカウントへの ポリシー展開が必要 2 ポリシー数の上限に 到達する Managed Policies Per Role クォータの壁 3 AWSReservedSSO ロールにタグ付けできない IAM Identity Center 管理ロール の制限事項 3
4. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. IAM Identity Center とは AWS が推奨するマルチアカウントアクセス管理の仕組み Organizations 連携 アカウントのアクセスを簡素化 一時的な認証情報 安全なアクセス 複数アカウントのアクセス権限 一元管理 ①ログイン IAM Identity Center アクセスポータル ID ソース (ユーザー情報の管理元) ②アクセス Account A Account B Account C 4
5. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 許可セットとは AWS アカウントへのアクセス権限を定義するテンプレート 誰が ユーザー / グループ どの権限で 許可セット どのアカウントに AWS アカウント 3 つを組み合わせて 割り当て ユーザーが対象アカウントに アクセス可能になる メリット : • 複数アカウントへの権限を 一箇所で定義・管理できる • 権限を変更すると、割り当 て済みの全アカウントに自 動で反映される 5
6. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 許可セットと IAM ロールの関係 許可セットは IAM ポリシーをまとめたテンプレート。 割り当てると各アカウントに IAM ロールが作成される 許可セット 展開 メンバーアカウント AWSReservedSSO_< 名前 >_< ランダム > アタッチ可能なポリシー : • AWS 管理ポリシー • カスタマー管理ポリシー • インラインポリシー IAM ロールである以上、IAM ロールの制限がそのまま効く → 今日の3点の根本原因 6
7. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. なぜこの話をするか 許可セット運用でトラブルが発生しているとの お問い合わせを受ける • IAM ロールとの関係を理解しておくとスムーズに運用できる • 実際の運用で気づくポイントを事前に共有する • 知っておけば簡単に対処できるものもある 7
8. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. ポイント1: ポリシーをアタッチできない カスタマー管理ポリシーをアタッチできない 症状 : • 許可セットにカスタマー管理ポリシーをアタッチして 割り当て/更新しようとするとエラー • 管理アカウントにはポリシーが存在するのに、なぜ？ 8
9. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. ポイント1: なぜ起きるか カスタマー管理ポリシーは、プロビジョニング先のメンバーアカウントにも 同名で存在する必要がある 管理アカウント MyCustomPolicy ✓ ここでポリシーを作成し、許可セットにアタッチ メンバーアカウント MyCustomPolicy ✗ 存在しない プロビジョニング時にポリシー名を参照 → 失敗 管理アカウントで作ったポリシーはメンバーアカウントに自動複製されるわけではない 9
10. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. ポイント1: 回避策 IaC で全アカウントにポリシーを事前展開する • AWS CloudFormation StackSets でポリシーをメンバーアカウントに展開 • ポリシーの命名規則を統一する 10
11. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. ポイント2: ポリシー数の上限 ポリシー数の上限に到達する 症状 : • 許可セットにポリシーを追加しようとすると上限エラー • 何の上限に引っかかったのかわからない 11
12. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. ポイント2: なぜ起きるか IAM ロールの ManagedPoliciesPerRole クォータが適用される 許可セット IAM ロール ManagedPoliciesPerRole デフォルト : 10 / 最大 : 25 • AWS 管理ポリシー + カスタマー管理ポリシーの合計でカウント • 許可セット固有の上限ではなく、 IAM ロールのクォータ • インラインポリシーはこのクォータの対象外 12
13. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. ポイント2: 回避策 クォータ引き上げは割り当て先のメンバーアカウントで申請が必要 • ロールが存在するのはアクセス先のアカウント • 許可セットが割り当てられているメンバーアカウントで引き上げが必要 • インラインポリシーの活用も検討（クォータ対象外） 13
14. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. ポイント3: ロールにタグ付けできない AWSReservedSSO ロールにタグ付けできない 症状 : • AWSReservedSSO ロールにタグを付けようとするとエラー • 信頼ポリシーを変更しようとしても拒否される • IAM コンソールにロールは表示されるのに操作できない 14
15. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. ポイント3: なぜ起きるか AWSReservedSSO ロールは IAM Identity Center が管理 — 直接変更が制限 メンバーアカウント 管理者 設定変更しようとする AWSReservedSSO_* IAM Identity Center 管理・制御 制限される操作 : タグの追加・変更 信頼ポリシーの変更 ロールの削除 IAM コンソールからロールは見えるが、 IAM Identity Center が管理権限を持つ 15
16. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. ポイント3: 回避策 ABAC を活用する / IAM Identity Center 外で別途ロールを作成する • ABAC（属性ベースのアクセス制御）を活用 • タグ付けの代わりにセッション属性で制御 • 条件キー aws:PrincipalTag/xxx で参照 • 直接タグが必要な場合 • IAM Identity Center 外でロールを作成 16
17. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. まとめ - 3 点チェック 許可セット運用前に確認すべき 3 つのポイント 1 カスタマー管理ポリシーは 全メンバーアカウントに 展開されているか？ 2 ポリシー数は ManagedPoliciesPerRole クォータ内に収まっているか？ （引き上げはアカウント単位） 3 IAM ロールの設定変更が 必要な要件はないか？ （ある場合は IAM Identity Center 外での IAM ロール利用を検討） 17
18. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. Thank you! © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. Amazon Confidential and Trademark. 宮田凌典 CSE / AWS Japan