現場実践｜IAMポリシー設計

AWSのIAMポリシー設計入門｜最小権限原則の実践とよくある設定ミス

「IAMポリシーの書き方がわからない」「とりあえずAdministratorAccessを付けている」——AWSのIAMポリシーの正しい設計方法・最小権限の実践・インラインポリシーとマネージドポリシーの使い分けを解説します。

読了目安：約18分更新日：2026年3月

💡 IAMの設定ミスはAWSセキュリティインシデントの最大の原因。「誰でも何でもできる」IAM設計は最もリスクが高い。最小権限の原則を実践することがAWSセキュリティの基本中の基本です。

この記事を書いた人

現役ITエンジニア・IT講師（経験14年）

CCNA・CCNP 取得LPIC-1 保有SES現場を複数経験

AWS環境のIAM設計・セキュリティ審査を多数担当してきた立場から解説します。

1. IAMポリシーの種類

📋

AWSマネージドポリシー

AWSが事前定義したポリシー。ReadOnlyAccess・AmazonS3FullAccess等。変更不可だがバージョン管理される。まず使えるものがないか確認する。

✏️

カスタマーマネージドポリシー

ユーザーが作成するポリシー。再利用可能で複数のIAMユーザー・ロールにアタッチできる。バージョン管理あり。

🔒

インラインポリシー

特定のIAMユーザー・グループ・ロールに直接埋め込むポリシー。再利用不可。例外的な権限付与にのみ使用を推奨。

2. 最小権限ポリシーの書き方

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowS3ReadOnlySpecificBucket",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::my-bucket",
        "arn:aws:s3:::my-bucket/*"
      ]
    }
  ]
}

ActionはGetObject・ListBucketなど必要なものだけを列挙します。「s3:*」のようなワイルドカードは本番環境では使わないことを原則にします。