責任共有モデル

AWSは、データセンターや機器などの「クラウドそのもの」を守ります。利用者は、その上に置く設定やデータ、つまり「クラウドの中」を守ります。誰に何をさせるかの設計は、利用者の責任です。

ルートユーザーとIAM

• ルートユーザー … アカウントを作ったときの、何でもできる利用者。MFA（多要素認証）をかけ、ふだんは使わない
• IAMユーザーとグループ … 人ごとの利用者と、その集まり。権限はグループに付ける
• IAMロール … 一時的な認証情報を受け取って使う「役割」。EC2やLambda、別のアカウントの人が引き受ける
• ポリシー … 何を許すかを書いた文書。利用者側に付けるものと、S3バケットなどの資源側に付けるものがある

ポリシーの評価の順番

何も書いていなければ拒否。許可があれば許可。ただし、どこかに明示的な拒否があれば、それが必ず勝ちます。AWS Organizationsのサービスコントロールポリシー（SCP）は、アカウントで使える権限の上限を決めるもので、それ自体は権限を与えません。

設計の型

アプリにアクセスキーを埋め込まず、ロールを使います。社員のログインは、IAM Identity Centerでまとめます。別のアカウントの資源を使うときは、相手のアカウントのロールを引き受けます。

• 責任共有モデルと、ルートユーザーの守り方
• IAMのユーザー・グループ・ロール・ポリシー
• 明示的な拒否が勝つ、ポリシーの評価の順番
• SCPとクロスアカウントのアクセスの設計