生成AI時代のIAMのマニアックな話

JAWS FESTA 2026 in AKITA(2026年11月7日)の登壇資料です。

プログラムには鍵を渡せるのに、なぜLLMには渡してはいけないのか。AIエージェントからAWSを操作するときに、鍵ではなく権限を渡す考え方を、IAMの代理実行とAI専用ロールから解説しました。

関連書籍
・AWSの薄い本1 IAMのマニアックな話 改訂第2版(2026年11月7日発売)
https://booth.pm/ja/items/9092890?utm_source=speakerdeck&utm_medium=slide&utm_campaign=iamv2_release&utm_content=speakerdeck_description

・生成AI時代のクレデンシャルとパーミッション設計
https://booth.pm/ja/items/8717856?utm_source=speakerdeck&utm_medium=slide&utm_campaign=iamv2_release&utm_content=speakerdeck_description

- 「本日発売」は後から読むと古くなるので、日付で書きました。
- タイトルは「生成AI時代のIAMのマニアックな話」にしてください。
- 公開したら URL を教えてください。ブログの埋め込みに入れます。

Transcript

1. 生成AI時代のIAMのマニアックな話 プログラムには鍵を渡せるのに、なぜLLMには渡してはいけないのか 佐々木 拓郎 このスライドは X（@dkfj）で公開しています 2026年11月7日 #jawsug #jawsfesta2026
3. AIエージェントにAWSを操作させるとき クレデンシャルは Secrets Managerに入れたから 安心、と思っていませんか @dkfj #jawsfesta2026 3
4. X（Twitter）のAPIキーで起きたこと 個人の開発環境での体験。APIキーはSecrets Managerに置いていた X（Twitter）の自動投稿が動かず、AIに原因を調べさせた Claude Code 値の形式が、TwitterのAPIキーと違うようです あれ、キーの中身が見えてる？ Claude Code 私 はい。ただ、先頭の数桁しか見ていないので安全です いや、それは漏洩だよね @dkfj #jawsfesta2026 4 私
5. 暗号化しても、AIが直接読めれば意味がない @dkfj #jawsfesta2026 5
6. 今日の問い① 同じGetSecretValueでも、プログラムが呼ぶなら問題にならなかった プログラムには鍵を渡せるのに、 なぜLLMには渡してはいけないのか @dkfj #jawsfesta2026 6
7. プログラムには、なぜ鍵を渡せたのか 鍵を使う場所 使ったあとの鍵 コードに書いた所だけ プログラムが終われば、鍵も消える 鍵の使い方が、コードで決まっている だから、レビューとテストで事前に確かめられた 出典：『AWSの薄い本 IAMのマニアックな話 改訂第2版』 @dkfj #jawsfesta2026 7
8. 第3のアクター、AIはどこが違うのか 鍵を使う場所 使ったあとの鍵 どこで使うかは、LLMの判断しだい 会話の文脈、セッションの記録、 自動メモリに残りうる 鍵の使い方が、事前に決まらない だから、レビューとテストで事前に確かめられない @dkfj #jawsfesta2026 8
9. そのまま使うと、AIはあなたの権限で動く AWS CLIでログインした端末で、AIに作業させたときのCloudTrail（例） eventName userIdentity.arn あなたが実行 ListBuckets assumed-role/AdminRole/dkfj AIが実行 GetSecretValue assumed-role/AdminRole/dkfj IAMでは、あなたもAIも同じ人と認識される 出典：『AWSの薄い本 IAMのマニアックな話 改訂第2版』 @dkfj #jawsfesta2026 9
10. 今日の問い② AIに鍵を渡さず、 権限を渡すには
11. 鍵の渡し方は4段階。代理実行ほど安全 ① 直読み：AIがファイルを直接読む ② 平文の注入：環境変数で渡す ③ ストア経由：取り出しはAIの外 ④ 代理実行：値そのものを渡さない @dkfj #jawsfesta2026 11
12. 代理実行は、IAMがずっとやってきたこと AssumeRole 鍵を渡さず、ロールを引き受けて実行する サービスロール AWSのサービスに、代わりに実行させる 混乱した代理問題 誰のための呼び出しかを、条件で確かめる aws:CalledVia（2020） どのサービスを経由したかを見分ける MCPの条件キー（2026） AWS MCP経由の呼び出しを見分ける AI対応は、この延長にある 出典：『AWSの薄い本 IAMのマニアックな話 改訂第2版』 @dkfj #jawsfesta2026 12
13. AIからAWSを呼ぶ道は2つ MCP経由 → ④代理実行 CLIで直接 → ①〜③ AWS MCP Serverが、 あなたの権限で代わりに呼ぶ 手元の鍵を、 AIが動かすCLIが読む 代理実行になるのは、MCP経由だけ 出典：『AWSの薄い本 IAMのマニアックな話 改訂第2版』 @dkfj #jawsfesta2026 13
14. 渡す権限は、AI専用のロールで決める 設計例 AIにはAI用のプロファイルを使わせたとき（例） userIdentity.arn 権限 あなたが実行 assumed-role/AdminRole/dkfj 管理者 AIがMCP経由 assumed-role/agent-dev/dkfj 読み取り中心 AIがCLIで直接 assumed-role/agent-dev/dkfj 読み取り中心 どちらの道でも、AIの権限はロールで決まる 出典：『AWSの薄い本 IAMのマニアックな話 改訂第2版』 @dkfj #jawsfesta2026 14
15. 人のロールのまま渡すなら、条件キーで補う ログインしたロールのまま、AIに作業させたときのIAMの評価（例） aws:PrincipalArn aws:ViaAWSMCPService あなたが直接 role/AdminRole false AIがMCP経由 role/AdminRole true AIがCLIで直接 role/AdminRole false 条件キーで見分けられるのは、MCP経由だけ 出典：IAMユーザーガイド／『AWSの薄い本 IAMのマニアックな話 改訂第2版』 @dkfj #jawsfesta2026 15
16. 明日、自分のアカウントで確かめること 代理実行を、設計に取り入れているか CLIなら 鍵が①〜③のどこにあるかを見る 考え方：鍵ではなく、権限を渡す 代理させる権限は、AI専用のロールか 難しければ MCP経由の破壊的操作を、条件キーで拒否する 考え方：AIには、人と別の権限を渡す @dkfj #jawsfesta2026 16
17. AIエージェントには 鍵を渡さない。 代理実行させる。 @dkfj #jawsfesta2026 17
18. もっと詳しく 本日発売 AWSの薄い本 IAMのマニアックな話 改訂第2版 ありがとうございました 感想は #jawsfesta2026 で 生成AI時代の クレデンシャルとパーミッション設計 @dkfj