ルートユーザーと認証情報の保護 MFA・アクセスキー廃止・IAM Access Analyzerで棚卸しする

SCS-C02を目指す方向けに、AWSアカウントの入口である認証情報をどう守るかを整理します。試験では「ルートユーザーの保護」「長期の認証情報の排除」「使われていない権限の棚卸し」という要件から、具体的な機能と運用手順を選ぶ力が問われます。

覚え方：3つの原則で考える

認証情報の保護は「ルートは封印する」「長期キーを一時的な認証情報に置き換える」「使っていないものを見つけて消す」の3原則で整理できます。

ルートは封印する：MFAと利用の最小化

ルートユーザーは請求設定の変更やアカウント閉鎖など一部のタスク専用とし、日常運用には使いません。ハードウェアMFA(FIDOセキュリティキーなど)を有効化し、アクセスキーは作らない(既存のものは削除)のが基本です。Organizationsではルートアクセス管理を有効化するとメンバーアカウントのルート認証情報を一元的に削除でき、必要時だけ短時間の特権セッションを発行できます。さらにEventBridgeでルートのサインインやAPI呼び出しを検知して通知する仕組みを組み、SCPでルートユーザーの操作を制限します。

長期キーを置き換える：ロールと一時的な認証情報

IAMユーザーのアクセスキーは漏えいすれば期限なく使われるため、人はIAM Identity Center(SSO)経由で一時的な認証情報を、EC2やLambdaはインスタンスプロファイルや実行ロールを使い、オンプレのサーバーやCI環境にはIAM Roles Anywhere(証明書ベース)やOIDCフェデレーションを使って長期キーをなくします。やむを得ず残るキーは認証情報レポートで最終利用日を確認し、90日などの周期でローテーションします。キーが漏えいした場合は、無効化(削除)、CloudTrailで利用状況を確認、生成されたリソースの削除、という順で対応します。

使っていないものを見つけて消す：IAM Access Analyzer

IAM Access Analyzerの未使用アクセス分析は、一定期間使われていないロール・ユーザー・アクセスキー・パスワード・許可を検出し、最小権限への縮小を支援します。外部アクセス分析は組織外のプリンシパルからアクセスできるS3バケットやロール、KMSキーなどを検出し、意図しない共有を見つけます。CloudTrailの実績に基づいてポリシーを自動生成する機能や、ポリシーの構文と過剰な権限を指摘するポリシー検証もSCSで頻出です。

チェックリスト

• ルートユーザーでしかできないタスクと、ルートの保護手順を説明できる
• 人・EC2・Lambda・オンプレ・外部CIのそれぞれで長期キーをなくす方法を挙げられる
• 認証情報レポートと最終使用情報の違いを言える
• Access Analyzerの未使用アクセス・外部アクセス・ポリシー生成・検証を使い分けられる
• キー漏えい時の対応手順を順序どおり説明できる

まとめ

認証情報の保護は「ルートを封印し、長期キーを一時的な認証情報に置き換え、使っていないものを消す」の3原則です。Identity Center・IAMロール・Access Analyzerの組み合わせをSCSの基本形として押さえておきましょう。

クイズで理解度を確かめ、最新の出題範囲はAWS認定 公式ページで確認しておきましょう。