ルートユーザーを守る

AWSアカウントを作ったときのメールアドレスとパスワードで入るのが、ルートユーザーです。すべての操作ができるので、ふだんは使いません。多要素認証（MFA）を設定し、アクセスキーを作らず、アカウントの解約など、ルートユーザーでしかできない作業のときだけ使います。

IAM の4つの部品

• ユーザー … 人やアプリの、名前付きのID
• グループ … ユーザーをまとめて、同じ権限を付ける入れ物
• ロール … 一時的に借りる権限。サーバーや別のアカウントが使う
• ポリシー … 何を許すか、何を禁じるかを書いた文書。AWSが用意する管理ポリシーと、自分で作るものがある

最小権限の原則

仕事に必要な権限だけを付けます。明示的に「禁止」と書いたものは、どこかで許していても禁止が勝ちます。

認証と秘密の管理

• MFA … パスワードに加えて、もう1つの要素で確かめる
• IAM Identity Center … 複数のアカウントに、1回のサインインで入れる
• AWS Secrets Manager … パスワードなどの秘密を安全に保管し、自動で入れ替える
• AWS WAF・AWS Shield … Webへの攻撃や、DDoS攻撃（大量の通信で止める攻撃）を防ぐ

• ルートユーザーの保護と、ルートユーザーでしかできない作業
• IAMのユーザー・グループ・ロール・ポリシー
• 最小権限の原則と、明示的な拒否
• MFAとIAM Identity Centerと秘密の管理とWebの防御