20260126_JAWS_Osaka

Transcript

1. 1 © 2026 Japan Digital Design, Inc. Takuya Yonezawa 2026.01.26 最小権限 1分 クッキング JAWS-UG大阪 re:Invent re:Cap
2. 2 © 2026 Japan Digital Design, Inc. 自己紹介
3. 3 © 2026 Japan Digital Design, Inc. 最小権限 それは 呪いの言葉 である An error occurred (AccessDenied) when calling the xxx operation:
4. 4 © 2026 Japan Digital Design, Inc. あるある言いたい このLambdaには 最小権限を付与してます！ 最小権限ポリス これはガチでマジで 最小権限になっとるんか？ 多分（ほぼ）最小権限です。。 そんなことばっかり言うから 権限エラーとか起きて 開発スピード落ちるねん あとポリシー運用しんどい
5. 5 © 2026 Japan Digital Design, Inc. あるある言いたい 最小権限ポリシーを ええ感じに 自動生成したい
6. 6 © 2026 Japan Digital Design, Inc. 神アップデート？現る https://aws.amazon.com/jp/about-aws/whats-new/2025/11/iam-policy-autopilot-generate-iam-policies-code/
7. 7 © 2026 Japan Digital Design, Inc. 神アップデート？現る https://aws.amazon.com/jp/about-aws/whats-new/2025/11/iam-policy-autopilot-generate-iam-policies-code/ アップデートのタイトルにわざわざ 「ビルダー」と入っている！ これは開発者は期待しちゃうね！
8. 8 © 2026 Japan Digital Design, Inc. お手並み拝見 見せてもらおうか IAM Policy Autopilotの性能とやらを
9. 9 © 2026 Japan Digital Design, Inc. Case.1 S3バケット内のオブジェクトRead + SQSメッセージ送信 Lambda （Python+boto3） S3 SQS Read Publish
10. 10 © 2026 Japan Digital Design, Inc. Case.1 /// 中身のStatementは次のページで /// 200行弱のLambdaコードが 1秒未満で解析終了
11. 11 © 2026 Japan Digital Design, Inc. Case.1 生成されたポリシーのStatementブロックを抜粋
12. 12 © 2026 Japan Digital Design, Inc. Case.1 生成されたポリシーのStatementブロックを抜粋 リソース句が広いがまあOK 権限広すぎかと思いきや肝心の オブジェクトコピー権限が無い！ てかバケットの設定変えられる ようになってるやんけ！ 君は一体どこから来たんだい？ KMS暗号化した SQSへのメッセージ送信を 考慮したポリシーだと思われる 無くてもOK。 そしてリソース句が広すぎる
13. 13 © 2026 Japan Digital Design, Inc. Case.1 生成されたポリシーのStatementブロックを抜粋 AWSLambdaBasicExecutionRole 相当の権限が付いていない！ CloudWatch Logsのログ記録無し！ まさに漢運用！！
14. 14 © 2026 Japan Digital Design, Inc. Case.2 S3への Read/Copy + Aurora/DynamoDBへのWrite/Delete S3 (Input) Aurora DynamoDB S3 (Archive) Lambda （Python+boto3+VPC） SQS Read Copy Write Write/ Delete
15. 15 © 2026 Japan Digital Design, Inc. Case.2 生成されたポリシーのStatementブロックを抜粋 省略！
16. 16 © 2026 Japan Digital Design, Inc. 感想 Resource句広すぎ問題 アクセス先リソースは環境変数で渡している。 Resource句も厳密に設定してもらうには IaCコードまで解析対象を伸ばさなければいけない 現状 IAM Policy Autopilotではサポート外、 Lambdaコードの解析のみ可能。 これはしゃーない
17. 17 © 2026 Japan Digital Design, Inc. 感想 生成される許可アクションが斜め上な件 Lambda Powertoolsや Aurora接続用のORMライブラリ、 boto3 Resource API、 Layerで挟み込んでいる自作ラッパー起因か。 純粋なboto3 Client APIであれば もう少し精度が良くなると思われる これもしゃーない
18. 18 © 2026 Japan Digital Design, Inc. 感想 https://www.youtube.com/watch?v=vgA_sq99Kas
19. 19 © 2026 Japan Digital Design, Inc. 感想 https://www.youtube.com/watch?v=vgA_sq99Kas Autopilotで生成されるIAMポリシーは 最小権限を保証するものではない より良い最小権限のスタートポイント として活用して欲しい
20. 20 © 2026 Japan Digital Design, Inc. まとめ ツールに完璧を求めるな！ IAM職人はまだまだ食っていける
21. Thank you. 21 © 2026 Japan Digital Design, Inc.