チームメイトから、公開前にレビューしてほしいと IAM ポリシーのステートメントが1つ送られてきました。AWS と同じ視点で読むには、まずステートメントの各部分が何のためにあるのかを理解する必要があります。
このステートメントは6つのフラグメントに分解されています。各フラグメントは、AWS がこれから下す判断の中で、それぞれ固有の役割を担っています。
この演習はコースの一部です
理論を実践に変える、インタラクティブな演習のひとつをお試しください
この章では、実際の AWS ワークロードを安全に保つための基本的な考え方を身につけます。具体的には、操作を行う主体と、AWS が実際に評価するプリンシパルを区別します。続いて、AWS と同じ視点で IAM ポリシーを読み解き、ある呼び出しが許可されるのか、拒否されるのか、あるいは何の許可もなく暗黙的にブロックされるのかを判断できるようになります。最後に、長期的なアクセスキーをロールの引き受け、一時認証情報、事前署名付き URL に置き換え、リポジトリからキーを完全に排除するパターンを学びます。
現在の演習
この章では、サインインに使う Cognito ユーザープールと、AWS 認証情報を発行するアイデンティティプールを明確に区別します。そのうえで、トークンの中身を信頼する前に署名を検証する方法を学びます。続いて、権限が実際にどこから生じているのかを、アイデンティティポリシー、リソースポリシー、そしてそれらを制限する境界の中から特定し、その理解をもとに API Gateway エンドポイントで IAM、Cognito、Lambda オーソライザーのどれを選ぶべきかを判断します。最後に、シークレットをコードやログから排除する方法を学び、インシデントレビューにも耐えられる保管場所、マスキング手法、ローテーションの習慣を選定します。
この章では、要件に応じた暗号化方式の選び方を学びます。S3 オブジェクトを暗号化する 4 つの方法と、通信経路の暗号化を強制する 1 行のポリシーを扱います。続いて、キーポリシーと IAM ポリシーの両方が関与する場合に、実際には誰が KMS キーを制御しているのかを見極めます。さらに、CloudTrail を注意深く読み解き、記録が存在しないことが「ログが取得されていなかった」ことを意味するのか、それとも「何も起きなかった」ことを意味するのかを判断できるようになります。最後に、これからリリースするサービスに対してコース全体のチェックリストを適用し、同じアイデンティティ、シークレット、暗号化に関する判断が、パイプラインやあなたに代わって AWS を呼び出す AI エージェントにどのように受け継がれるかを確認します。
