リソースに対するアクセス権限の監査

特定のリソースにアクセスできるユーザー、アクセス・グループ、サービス ID、およびサービスを調べるために、アカウントのリソース・リストからレポートをダウンロードできます。

レポートには、選択されたリソースに関する詳細が含まれます。サブリソースに関する詳細は含まれていません。ただし、レポートにリストされているアクセス権限がサブリソースに及んでいる場合があります。

特定のリソースに対するアクセス権限を持っている人を監査することで、最小権限の原則を守っていることを確認できます。これは、最小限のアクセス権限を、必要とするユーザーにのみ付与することを意味します。どのレポートにも、その時点でアクセス権限を持っているエンティティーのリストが示されています。このレポートを使用して必要のないアクセス権限を持っているユーザーを判別した後で、アカウント全体のアクセス・ポリシーおよび増えすぎたアクセス権限の数を削減できます。

アクセス・レポートをエクスポートするために必要なアクセス権限

選択されたリソースに対して管理者役割を持っている場合、レポートをダウンロードできます。リソースに対して管理者権限のみを持っている場合、レポートにはユーザーの ID、アクセス・グループの ID、およびサービスの ID が表示されます。ただし、ユーザー、サービス、アクセスグループ、アクセスグループメンバー、または動的ルールの表示名は、より多くのアクセス権を持つポリシーなしでは表示できません。

以下のアクセス権を使用すると、レポートタイプに応じて、レポート内の表示名、アクセスグループメンバーシップ、およびダイナミックルールを表示できます：

アカウントのメンバーである必要があります。アカウント所有者によってユーザー・リストが制限されている場合、表示権限を持っている対象のユーザーの詳細しか表示できないことがあります。
アクセス権限を持つグループのメンバーを表示するには、アクセス・グループへのアクセス権限を持っている必要があります。これには以下のアクセス権限タイプが含まれます。
- IAM アクセス・グループ・アカウント管理サービスを使用した特定のアクセス・グループに対するビューアー役割
- IAM アクセス・グループ・アカウント管理サービスを使用したすべてのアクセス・グループに対するビューアー役割
- すべてのアカウント管理サービスに対するビューアー役割

レポートのエクスポート

レポートをエクスポートするには、以下のステップを実行します。

「リソース・リスト」ページに移動します。
レポートが必要なリソースの行について、[Actions] アイコン >![ Export access report] をクリックします。
**「JSON のダウンロード」または「CSV のダウンロード」**をクリックします。

割り当てられたアクセス権限に基づいて、ID のみを表示できたり、完全な詳細ビューを表示できたりします。 fullReport フラグに設定されている値を確認してください。これが false に設定されている場合、すべての表示名、メンバーシップ、またはルールを表示するための全アクセス権限を持っていません。

報告書タイプ

レポート形式は、JSON または CSV という 2 つの形式から選択できます。 CSV レポートは読みやすい形式ですが、JSON レポートに含まれるすべての情報が入っているわけではありません。 CSV レポートには、JSON レポートに含まれる以下の情報がありません。

役割とアクションの説明
プラットフォームまたはサービスの分類を使用した、役割とアクションの表示の分離
ユーザーがログインしたときにアクセス権限を提供する、アクセス・グループの動的ルール

以下の情報は、どちらのタイプのレポートにも含まれます。

リソース表示名
レポートをエクスポートしたユーザーの情報
完全な詳細レポートを表示するためのアクセス権限を持っているかどうかを示す fullReport というフラグ。この属性が true に設定されている場合、レポートをダウンロードしたユーザーは必要なアクセス権限をすべて持っています。
役割と、サービスおよびプラットフォームによって各役割にマップされるアクションを含む、リソースへのアクセス権限を持っているサブジェクト。特定のサービスによって役割にマップされているアクションが、同じ役割にマップされているプラットフォーム固有のアクションと別に表示されるのは、JSON レポートのみです。
アクセス権限を提供するポリシーの ID。各 ID はリンクになっているので、割り当てられているアクセス権限を変更する場合は、その特定のポリシーの編集に直接進むことができます。

JSON レポートの例

簡略プレビューについては、レポートの構造を理解するのに役立つコメントが追加された以下の JSON 例を参照してください。