IAM アクセスキーを安全に管理するにはどうすればよいですか。

解決策

IAM アクセスキーを管理するには、次のアクションを実行してください。

IAM アクセスキーを定期的に更新する

**注: **AWS コマンドラインインターフェイス (AWS CLI) コマンドの実行中にエラーが発生した場合は、『AWS CLI のエラーのトラブルシューティング』を参照してください。また、AWS CLI の最新バージョンを使用していることを確認してください。

キーが漏洩した場合の不正アクセスのリスクを軽減するために、ユーザーアクセスキーを定期的に更新してください。少なくとも 90 日ごとにアクセスキーをローテーションすることはベストプラクティスです。

ユーザーアクセスキーを更新するには、AWS マネジメントコンソールまたは AWS CLI を使用してください。

IAM アクセスキーの使用状況をモニタリングする

アクセスキーをローテーションまたは無効化する前に、古いキーや未使用のキーを特定するには、AWS CloudTrail と Amazon CloudWatch アラームを使用して、アクセスキーがどこでどのように使用されているかをモニタリングしてください。

漏洩した IAM アクセスキーに対応する

アクセスキーが漏洩した疑いがある場合は、漏洩したキーを直ちに無効化して、影響範囲を制限し、アカウントを保護してください。

CloudTrail ログを確認して、漏洩したキーを使用して行われた不正な API コールを特定してください。アクセスキー ID による CloudTrail イベントのフィルタリング方法については、『AWS CloudTrail を使用した IAM Access Analyzer API コールのログ記録』を参照してください。

漏洩したキーを無効化した後、次のアクションを実行してください。

• アカウント内の不正な IAM ユーザー、ロール、ポリシーを確認する。詳細については、『AWS セキュリティ監査のガイドライン』を参照する。
• 不正な Amazon Elastic Compute Cloud (Amazon EC2) インスタンス、Amazon Simple Storage Service (Amazon S3) バケットポリシーの変更、セキュリティグループの変更を確認する。
• すべての是正手順を完了するまでは、AWSCompromisedKeyQuarantineV3 ポリシーを適用したままにしてください。早期に削除すると、セキュリティインシデントに関連する AWS アカウントの譲歩措置の対象資格に影響を与える可能性があります。
• 不正なリソース使用を示す予期しないコストの急増を特定するには、請求ダッシュボードを確認してください。

継続的な脅威や異常なアクティビティを検出するには、Amazon GuardDuty を有効にしてください。

今後のセキュリティ通知のために、AWS アカウントの代替連絡先を更新してください。

長期的な IAM アクセスキーの代替手段を使用する

長期的なアクセスキーは継続的なセキュリティリスクをもたらします。可能な場合は、長期的なアクセスキーを一時的な認証情報に置き換えることはベストプラクティスです。

AWS サービスの場合

アクセスキーをアプリケーションコードに埋め込む代わりに、Amazon EC2、AWS Lambda、Amazon Elastic Container Service (Amazon ECS) に IAM ロールを割り当ててください。IAM ロールは、自動的にローテーションされる一時的な認証情報を提供します。IAM ロールを作成して割り当てるには、『IAM ユーザーにアクセス許可を付与するロールを作成する』を参照してください。

個人ユーザーの場合

AWS IAM アイデンティティセンターは、個別ユーザーに一時的な認証情報によるフェデレーテッドアクセスを提供します。これにより、コンソールアクセスおよびプログラムによるアクセスに長期的なアクセスキーが不要になります。詳細については、『IAM Identity Center とは何ですか?』を参照してください。

オンプレミスワークロードの場合

AWS 外部のワークロードでプログラムによるアクセスが必要な場合は、X.509 証明書を使用する際に AWS IAM Roles Anywhere を使用して、一時的な認証情報を提供してください。詳細については、"Using IAM Roles Anywhere to authorize off-cloud devices to access AWS resources" (IAM Roles Anywhere を使用してクラウド外部のデバイスに AWS リソースへのアクセスを許可する) を参照してください。

関連情報

IAM ユーザーのアクセスキーを管理します。

Beyond IAM access keys: Modern authentication approaches for AWS (IAM アクセスキー以上: AWS の最新認証アプローチ)

What to do if you inadvertently expose an AWS access key (AWS アクセスキーをうっかり公開してしまった場合の対処方法)