AWS IAMポリシーとは？JSONの読み方・書き方とロールとの違いを初心者向けに解説

AWSでIAMユーザーやロールを作ったものの、「アクセス権限（ポリシー）の設定がよく分からない」「JSONのコードを見て難しそうだと感じてしまった」と悩んでいませんか？

AWSの安全な運用のために、IAMポリシーの理解は避けて通れません。しかし、基本の仕組みさえ押さえれば、決して難しいものではありません。

この記事では、AWS初心者の方に向けて、IAMポリシーの役割やロールとの違い、JSONの読み方・書き方を分かりやすく解説します。

この記事を読めば、アクセス権限の基本が理解でき、自分で簡単なポリシーを設定できるようになります。

AWSのIAMポリシーとは？初心者が知るべき「許可証」の役割
混同しやすい「IAMポリシー」と「IAMロール」の違い
難しくない！IAMポリシー（JSON）の基本的な読み方・要素
IAMポリシーの「2つの種類」とおすすめの選び方
1. 1. AWS管理ポリシー（まずはここから！おすすめ）
2. 2. カスタマー管理ポリシー（自由に作りたいとき）
【ステップ解説】IAMポリシーの作成・適用手順
1. ステップ1：マネジメントコンソールでポリシーを作成・選択する
2. ステップ2：対象のIAMユーザーやロールにポリシーをアタッチ（適用）する
初心者がつまずきやすい！ポリシー作成・記述時の注意点
1. カンマ（,）の付け忘れやタイポなどの構文エラー
2. 必要最小限の権限（最小特権の原則）を意識する
まとめ

AWSのIAMポリシーとは？初心者が知るべき「許可証」の役割

AWSを安全に利用するためには、適切なアクセス権限の設定が不可欠です。このアクセス権限を細かく定義する仕組みが「IAMポリシー」に他なりません。

IAMポリシーとは、AWSのサービスやリソースに対して「何を許可するか、または拒否するか」を定めた、いわば「許可証」のようなものです。例えば、「Amazon S3のデータを読み込んでも良い」「EC2インスタンスを起動してはならない」といったルールが、この許可証に細かく記載されています。

AWSの世界では、新しくIAMユーザーやIAMロールを作成しただけの段階では、一切の操作を行うことができません。作成直後は何ひとつ権限を持たない状態であるため、クラウド内のリソースに触れることすら不可能です。そこで、作成したユーザーやロールに対して、このポリシーという名の許可証を組み合わせる作業が求められます。許可証を正しく割り当てることで初めて、対象のユーザーが特定のサービスを操作できるようになる仕組みです。

混同しやすい「IAMポリシー」と「IAMロール」の違い

AWSの権限管理を学ぶうえで、多くの人が最初に迷うのが「ポリシー」と「ロール」の違いです。名前が似ているため混同しがちですが、それぞれの役割は明確に分かれています。

結論から言うと、ポリシーは「許可証（できることが書かれた紙）」であり、ロールは「仮面（許可証を差し込めるスロット付きの仮面）」のような関係性にあります。ポリシーという紙単体では、誰がその権限を行使するのかが決まっていません。一方で、ロールという仮面単体でも、それを被ったときに何ができるのかという中身が決まっていない状態です。

この2つは、組み合わせて使うことで初めて機能します。特定の権限が書かれたポリシーをロールに貼り付けることで、そのロールを引き受けた人やプログラムが、許可された操作を行えるようになる仕組みです。例えば、「開発者ロール」という仮面のスロットに「S3の読み込み許可証」というポリシーを差し込んでおくことで、その仮面を被ったメンバー全員がS3を利用できるようになります。

難しくない！IAMポリシー（JSON）の基本的な読み方・要素

JSONポリシーを「5W1H」で読み解く

英語の羅列のように見えるJSON形式のポリシーですが、構造自体は非常にシンプルです。難解なコードの塊として捉えるのではなく、英語の「5W1H（だれが・何を・どうする）」のような文章のパターンとして捉えることで、スムーズに読めるようになります。

記述されているルールは、一定の決まった型に沿って並んでいるに過ぎません。一からすべての構文を暗記する必要はなく、どの位置に何が書かれているかという配置のパターンを知るだけで、誰でも簡単にアクセス権限の中身を読み解くことが可能です。

必ず押さえるべき基本の3要素（Effect・Action・Resource）＋Sid

IAMポリシーの骨組みを構成するのは、主に以下の3つの要素と、それを識別するための記述です。これらが組み合わさることで、一つの権限ルールが完成します。

・Effect（効果）：その操作を「許可（Allow）」するか、あるいは「拒否（Deny）」するかを指定する要素です。

・Action（行動）：具体的に「何をするか」という操作内容を指定します。例えば、Amazon S3からファイルを取得する操作であれば「s3:GetObject」のように記述します。

・Resource（対象）：操作の対象となる具体的な「どのアカウントの、どのリソースか」を指定する要素です。AWSでは「ARN（Amazon Resource Name）」と呼ばれる独特の識別フォーマットを用いて記述します。

・Sid（文識別子）：この設定に付ける任意のタイトルやメモ書きに相当するものです。省略も可能ですが、後から見返したときに何のための設定かを識別するのに役立ちます。

【具体例】Amazon S3の読み込みを許可するシンプルなJSON

理解を深めるために、複雑な条件設定を含まない、Amazon S3 of 読み込み（Get）だけを許可する最もシンプルなJSONの例を確認してみましょう。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3ReadAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::example-bucket/*"
        }
    ]
}

このコードは、前述した基本要素がパズルのように配置されているだけです。中央の「Effect」で「Allow（許可）」が宣言され、その下の「Action」で「s3:GetObject（S3のオブジェクト取得）」が指定されています。そして最後の「Resource」によって、「example-bucketという名前のバケット内にあるすべてのファイル（/*）」が対象であることが分かります。構造の規則性さえ見えてしまえば、決して身構える必要のないシンプルな仕組みです。

IAMポリシーの「2つの種類」とおすすめの選び方

1. AWS管理ポリシー（まずはここから！おすすめ）

IAMポリシーを利用するにあたり、まず検討すべきなのが「AWS管理ポリシー（マネージドポリシー）」です。これは、AWS側があらかじめ一般的な業務用途を想定して用意してくれている、既製の許可証を指します。

例えば、管理者向けの強力な権限を持つ「AdministratorAccess」や、S3のデータを閲覧するだけの「AmazonS3ReadOnlyAccess」など、よく使われる役割に応じたポリシーが最初から網羅されています。自分でJSONのコードを書く必要がなく、AWSによって常に最新の状態にメンテナンスされているため、初心者はまずこのAWS管理ポリシーの中から要件に合うものを選ぶ方法が最も安全で確実です。

2. カスタマー管理ポリシー（自由に作りたいとき）

自社で運用している環境のルールに合わせて、より限定的な権限を定義したいときに使用するのが「カスタマー管理ポリシー」です。AWS管理ポリシーではカバーできない独自のアクセス制限を、一から、または既存のテンプレートをベースにして自由に変更しながら作成できます。

なお、特定のユーザーやロールに直接権限を書き込む「インラインポリシー」という方法もありますが、これは設定があちこちに分散して管理が煩雑になる原因になりかねません。そのため、運用の見通しを良くする観点からも、基本的には「管理ポリシー」の形式を優先して作成し、使い回せるようにしておく運用方法が推奨されます。

【ステップ解説】IAMポリシーの作成・適用手順

ステップ1：マネジメントコンソールでポリシーを作成・選択する

最初に、AWSの管理画面であるマネジメントコンソールにログインし、IAMのダッシュボードを開きます。画面の案内に従って、ビジュアルエディタやJSONタブを切り替えながら、目的のポリシーを用意する流れが一般的です。

このとき、完全にゼロからJSONのコードを記述していく必要はありません。まずは公式が提供している「AWS管理ポリシー」の中から要件に一番近いものを探し、その内容をコピーしたうえで、一部の記述を変更していく方法をとるのが効率的でおすすめです。

ステップ2：対象のIAMユーザーやロールにポリシーをアタッチ（適用）する

ポリシーの準備が整ったら、次はその許可証を実際に使いたい対象へと紐付ける「アタッチ」の操作に移ります。

マネジメントコンソールの画面上で、権限を与えたい特定のIAMユーザー、あるいはIAMロールを選択してください。その後、「ポリシーのアタッチ」ボタンから先ほど作成・選択したポリシーを検索し、チェックを入れて追加します。このアタッチ作業が完了した瞬間から、設定したアクセス権限が即座に反映され、対象のリソースへの操作が可能になります。