【AWS IAM】リソースベースのポリシーだけでアクセス許可を付与できるようです。

2023年6月12日 14:13

こんばんは。横浜事業所のえんどぅです。
AWS を本格的に学び出して 2 年弱、IAM とはかなり打ち解けて仲良くなれたと思っていたのですが、まだまだこの子の事をちゃんと理解できていませんでした...。
今回は、改めて IAM の「リソースベースのポリシー」の挙動について確認をしたので、内容を共有します。

AWS Identity and Access Management (IAM) とは？

IAM は AWS へのサインイン (認証) や AWS リソースの操作の承認 (認可) を制御するためのサービスです。
AWS リソースの操作の許可・拒否を定義する「ポリシー」を使用する事で、各リソースを操作可能なユーザー等の制御を行い、セキュリティを高める事ができます。

参考: IAM とは

リソースベースのポリシーとは？

アクセス許可を定義する「ポリシー」は、アタッチする (割り当てる) 対象によって 2 種類に分類されます。

アイデンティティベースのポリシー

その名の通り、アイデンティティに対してアタッチするポリシーです。
このポリシーによって、アタッチされたアイデンティティが「どんな時に、どのリソースに、どんなアクションを」実行する事が可能かを設定できます。
アクセスする側にアタッチするポリシーです。

IAM アイデンティティ
識別し、グループ化するために使用される IAM リソースオブジェクト。IAM ユーザーにポリシーをアタッチすることができます。ユーザー、グループ、およびロールなどがあります。 https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/intro-structure.html#intro-structure-terms

リソースベースのポリシー

その名の通り、リソースに対してアタッチするポリシーです。
このポリシーによって、アタッチされたリソースが「どんな時に、どのリソースに、どんなアクションを、誰に」実行される事が可能かを設定できます。
アクセスされる側にアタッチするポリシーです。

また、リソースベースのポリシーは全ての AWS リソースにアタッチ可能というわけではありません。
アタッチ可能なリソースについては公式ドキュメントをご参照ください。

参考: アイデンティティベースおよびリソースベースのポリシー

挙動確認

「あるユーザーにあるリソースへのアクセスを許可したい場合、アイデンティティベースのポリシーでの明示的許可は必須で、リソースベースのポリシーも使うならそっちでも明示的許可が必要」と思っている人はいないでしょうか？

私は思っていました！！

ですが、どうやらそうではないらしいという事で、実際にリソースベースのポリシーの挙動を確認してみます。

事前準備

挙動確認を実施するにあたり、以下のリソースを準備します。

IAM ユーザー: initial
アクセス権限として、S3 バケットと S3 オブジェクトの一覧表示のみを許可するアイデンティティベースのポリシーを付与しておきます。
- s3:ListAllMyBuckets
- s3:ListBucket
S3 バケット: resource-policy-test-bucket
S3 オブジェクト: test.txt
作成した S3 バケット (resource-policy-test-bucket) の直下に配置しておきます。