活動実績からロールを適正化する

ReportsExportRole には42個のアクションが許可されています。「Policy from activity」では、過去90日間の証跡に実際に行われた呼び出しが表示されます。

ハイライトを切り替えて、許可されたアクションのうちどれが証跡で使われたかを確認しましょう。そのうえで最小権限のポリシーを生成すると、許可範囲が42個から3個まで絞り込まれるのがわかります。

IAM Access Analyzer も同様の比較を行いますが、こちらはリソースのプレースホルダーを出力するだけで自分で埋める必要があり、S3 オブジェクトの読み取りはそもそも検出できません。

証跡が教えてくれない、たった一つのことは何でしょうか。