IAMのユーザーおよびグループ
セキュリティを強化するためにユーザーとグループを効果的に管理する方法をご紹介します。
- リソースへのアクセス権を必要とする顧客組織の全員に対してIAMユーザーを作成します。複数のユーザー間でIAMユーザー・アカウント(特に管理アカウントのユーザー)を共有しないでください。個別のIAMユーザーを使用することで、各ユーザーに対して最小限の権限アクセスを強制でき、監査ログで各ユーザーの操作を記録できます。
- 推奨される管理単位はIAMグループです。これにより、(個々のユーザーの場合に比べて)セキュリティ権限の管理とトラッキングが容易になります。一般的に必要なタスク(たとえば、ネットワーク管理、ボリューム管理)を実行する権限を持つIAMグループを作成し、必要に応じてこれらのグループにユーザーを割り当てます。IAM権限を使用すると、テナンシの複数のコンパートメントにまたがるリソースに対するアクセスをグループに許可できます。
- IAMグループ内のIAMユーザーのメンバーシップを定期的に確認し、アクセス権が必要なくなったIAMユーザーはグループから削除します。グループ・メンバーシップを使用したユーザー・アクセスの管理は、ユーザー数が増加しても適切に対応できます。
- テナンシ・リソースへのアクセス権が不要になったIAMユーザーは非アクティブ化します。IAMユーザーを削除すると、そのユーザーが完全に削除されます。次の操作を実行することで、IAMユーザーを一時的に非アクティブ化できます:
- ユーザー・パスワードをローテーションし、破棄します。
- すべてのグループからユーザーのメンバーシップを削除することで、そのユーザーのテナンシに対するすべての権限を削除します。