読み方：アイエーエムポリシー

IAMポリシー【IAM policy】

IAMポリシーとは？

ITシステムにおいて、利用者やプログラムがどのリソースに対してどの操作を実行できるかを定義した設定情報。認証後のアクセス制御に用いられ、管理者が権限を細かく管理するために利用する。

IAM（Identity and Access Management）とは、クラウドサービスや情報システムにおいて、利用者やソフトウェアなど操作主体の身元の確認と、その後の権限管理を一元的に行う仕組みである。「誰がシステムにアクセスできるか」と「アクセスした後に何ができるか」の両方を管理する。

IAMポリシーの内容は、「誰が」「何に対して」「何を」「許可または拒否するか」という要素で構成される。例えば、特定の利用者にはストレージ内ファイルの閲覧のみを許可し、削除や設定変更は禁止するといった制御が可能である。多くのクラウドサービスではJSON形式で記述され、条件式を組み合わせることで、特定のIPアドレスからの接続時のみ許可するといった細かな制御も実現できる。

ポリシーの適用対象は個人の利用者に限らない。開発チームなどのグループや、システム内で自動的に動作するプログラム、仮想サーバなどに対しても権限を付与できる。役職や担当業務ごとにまとめて管理できるため、大規模な組織でも運用しやすい構成となっている。

権限管理では、業務上必要な操作のみを許可する「最小権限の原則」が重視される。不要な権限を与えると、誤操作や不正利用による被害が拡大しやすくなるためである。このためポリシーでは、「読み取り専用」「管理者専用」のように業務内容に応じた権限の分離が行われる。なお、IAMポリシーは認証の仕組みそのものではなく、IDやパスワードによる本人確認が済んだ後に適用される。

こうした仕組みが必要とされる背景には、企業システムがクラウド環境へ移行したことがある。従来のオンプレミス環境ではネットワーク境界によるセキュリティが主流であったが、クラウドではその境界が曖昧になる。そのため、リソースごとに権限を定義するポリシーによるアクセス制御が、セキュリティ管理の根幹として広く採用されている。