【AWS】IAMとは？概要と使い方を詳しく説明 no.2

![AWS (2).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/c6087a6b-a791-ffb4-4d3d-176f390e8c55.png)
こんにちは、まゆみです。

AWSに関する記事をシリーズで書いています。

今回は第2回目になります。

[前回の記事](https://qiita.com/Mayumi_Pythonista/items/b6b9705b53febe3cc3f8)では、

<ul>

<li>そもそもクラウドとはどんなサービスのことなのか？</li>

<li>AWSの概要</li>

</ul>

について書かせていただきました。

今回の記事から、もう少し具体的な内容に踏み込んでいこうと思います。

今回の記事では、AWSの『IAM(アイ・エー・エム)』とは何なのかについて書いていきますね。

ではさっそく始めていきます。

#IAMとは？

IAMとは『Identity Access Management』の略になります。

IAMとはその名の通り、AWSを使う個人やグループの<font color="Red">特定のリソースに対するアクセス権をコントロールする</font>サービスになります。

全てのAWSユーザーに全てのリソースへのアクセス権を与えるのではなく、<font color="Red">個人やグループに必要なアクセス権を必要に応じて与えることができる</font>のが、IAMです。


![ユーザーを追加した時点では、そのユーザーは何の権限も与えられていない.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/4566c8d3-1aff-b3c3-13d7-eceec9b0b710.png)

ユーザーやグループに、それぞれに相応しい権限を与えるために

>①ユーザー追加をする

>②そのユーザーに必要なアクセス権を与える

の2段階が必要です。

![同じ部署の人には同じアクセス権を与えたい。個々人で設定するのは面倒だ.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/2b26d641-2cb6-5ed0-aa2a-cdb63789ab71.png)

特定のアクセス権を個々人にそれぞれ付与することもできますが、<font color="Red">あるグループに所属する人、全員に同じ権限を与える</font>こともできます。


![GroupA.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/a88c6dd5-2435-e646-3920-2ec64e3f4bc4.png)

グループの中に入れることができるのは、『ユーザー個人』であり、『グループ』はグループのなかに入れることはできません。

また、グループに属さないユーザーを作るのはベストプラクティスではありませんが、認められています。(上記のイラストの例で言えば、一番右の女性はどのグループにも所属していません)

他のグループにまたがって新しいグループを作ることも可能です。(上の例ではGroupCのようなグループを作ることも可能)

##ポリシーとは？

![スクリーンショット 2021-04-28 093139.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/1a3b1095-da78-dc9a-c692-198945ed8947.jpeg)
引用元：AWSコンソール

ユーザー、またはグループを作ったあとは、それぞれのユーザー・グループにふさわしいポリシーを紐づけることです。


ポリシーとは、ある特定のユーザー・グループができるアクセス権の書かれたドキュメントです。

上記のスクショに書かれているように、通常JSONフォーマットで保存されています。


![スクリーンショット 2021-04-28 093723.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/ddb7e4ef-5215-ba5f-a91a-2ac91775eb13.jpeg)
引用元：AWSコンソール

ポリシーは、個々のユーザーに対しても、グループ分けされたそのメンバー全員にも付与する事ができます。


では、ここで一つの疑問。。。

例えば

EC2(サーバーコンピュータのようなもの)にあるアプリケーションがあり、そこを経由してS3(ストレージのようなもの)内にあるファイルにアクセスしなければいけないなどの時はどうしたら良いのでしょうか？

<font color="Red">それが『Roll(ロール)』と言われるもの</font>になります。


ポリシーは、特定のユーザーやグループに付与されるものですが、ロールは主にインスタンスに対して与えられるものになります。

#実際にIAMを使ってみる

では、IAMの概要が理解できたところで、実際にIAMを使ってみましょう

![スクリーンショット 2021-04-28 100943.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/07261b15-9be4-8d9f-e7ab-d33a40958714.jpeg)

AWSのサービスの、『セキュリティ、ID、およびコンプライアンス』に『IAM』はあります。


また、新規登録の際に自動的にユーザーが作られたと思いますが、それは<font color="Red">ルートユーザーと言われるもので全ての権利が与えられている者</font>なので、パワーを持ちすぎているという理由から、日々のタスクをこなす際に使うことは推奨されていません。

なので、新しいユーザーを追加しましょう


![スクリーンショット 2021-04-28 101812.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/98c858a0-fed2-0527-a5a7-93a197f2dc06.jpeg)
『ユーザーを追加』をクリック


![スクリーンショット 2021-04-28 102253.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/69b330b1-4c6c-0a13-9631-2127b47a367e.jpeg)

必要事項を入力します。

今回は、私しかユーザーがいないので、『カスタムパスワード』で自分の作ったパスワードを使用しますが、例えば他の誰かのためのユーザー追加をする時は、自動生成パスワードを選択してもよいでしょう。

パスワードのリセットが必要かどうかも、その時々で臨機応変に選択してくださいね。


![スクリーンショット 2021-04-28 102653.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/0f355690-8ae8-dc32-f15d-a0a1e5626881.jpeg)
『グループの作成』をクリック


![スクリーンショット 2021-04-28 103217.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/4889c72d-fe0f-2f40-5269-b04a852de686.jpeg)

グループ名を入力して、ポリシーを選択してチェックします。

これで、<font color="Red">このグループに属するメンバーは全員チェックしたポリシーを引き継ぐ</font>ことになります

その後、『グループの作成』をクリック

![スクリーンショット 2021-04-28 103013.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/98f85143-d07c-4b9e-5830-b76a1dcd2188.jpeg)
タグ名を追加できますが、オプションなので、入れても入れなくても構いません

![スクリーンショット 2021-04-28 103413.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/9b308c43-c7b7-3bc3-5806-9c8417cffb27.jpeg)

確認画面になります


そのまま先に進むと、ユーザー登録を無事に終えることができます

![スクリーンショット 2021-04-28 103451.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1011305/18142bb2-0116-f2a4-66d8-9e864e820c55.jpeg)

もし、このユーザー登録情報のバックアップを取っておきたかったり、他の人のためにユーザーの追加をした場合などには、

>.csvのダウンロード

>Eメールの送信

をすることもできます

#まとめ

今回の記事は、ここで締めくくらせていただきます。

次回も引き続きAWSについての記事を投稿しますので、よろしくお願いします