書籍「AWS Lambda実践ガイド」でI AMの理解が深まった

1 「AWS Lambda実践ガイド」でI AMの理解が深まった

「AWS Lambda実践ガイド」でI AMの理解が深まった

AWSの基礎的な概念のひとつである「I AM」の仕組みについて、頭で理解出来たつもりでも、今ひとつ腹落ちしない部分があリました。

何事も実際に手を動かして体感してみることが一番の習得方法だと思いますが、個人的には書籍「AWS Lambda実践ガイド」掲載の実例を試したことがとても良かったので、同じようにI AMの仕組みをいまひとつ理解出来ていない方へ向けて、書籍で学んだポイントを整理して紹介します。

書籍「AWS Lambda実践ガイド」ですが、AWSのマネージドサービスである「Lambda」について取り扱った内容となっており、当然AWSの初歩、基礎を学ぶための内容ではありませんが、Lambdaの実例を試す中で実際にI AMがどのような役割で使われていて、何のために設定を行うのかを必然的に学ぶことが出来ます。

Lambdaについてまだ学習をしたことがない方であっても掲載されている例のうち、いくつかはシンプルでハードルも高くありませんので、
I AMの学習を目的とした利用であっても十分許容出来る内容ではないかと思います。

（Lambdaについて学習するきっかけにもなり、一石二鳥です！）

I AMユーザとI AMロールの基本概念

書籍の内容に触れる前に、まず、I AMユーザとI AMロールの基本についてあらためて整理しておきます。

I AMユーザー
AWSの各サービスを利用するための実行ユーザのこと

AWSのアカウント契約を行った大元のrootユーザーから複数作成することができ、実際にプロジェクト等でAWSの各サービスを利用する際は通常はI AMユーザーでログイン（サインイン）して行うことが推奨されている。

I AMユーザーごとに「ポリシー」と呼ばれるAWSの各サービスを利用するための実行権限を付与することができる。

I AMロール

ユーザーではなく、AWSのサービス自体の実行権限のこと。（ヒトではなくモノ）

I AMユーザーと同様、こちらもAWSの各サービスを利用できるようにするためのポリシーをアタッチする。

I AMユーザーとI AMロールの使い分け

I AMユーザーとI AMロールの実際の使い分けですが、

例えばサインインを行ったI AMユーザーで「EC2」というサービスを使って仮想サーバを起動する場合、そのI AMアカウント自体にEC2サービスを操作するポリシーをアタッチしないと操作することが出来ません。

I AMロールは、あるサービスから別のサービスを利用するための権限なので、後ほど書籍の解説でも紹介しますが、AWSサービスの一つである「Lambda」から異なるサービスである「S3」への操作を行う場合、「S3」を操作するためのポリシーがアタッチされたI AMロールの元でLambdaを実行する必要があります。

（Lambda関数は作成時に実行ロールの設定を行うことができる）

「第４章 S3のイベント処理」を解説

今回は書籍内の「第４章 S3のイベント処理」の実例に必要な、I AMの設定を整理していきます。

章の内容で取り扱う、LambdaとS3を使用した実例について、ざっくりと解説すると、
S3バケットに画像などのファイルが配置された際にLambda関数を実行し、ファイルを暗号化zip形式に変換して別のS3バケットに保存させるというものです。

I AMユーザ、I AMロールにそれぞれポリシーを割り当てる

I AMユーザー側、I AMロール側に割り当てるポリシーはそれぞれ下記となります。

I AMユーザー側

AWSLambda_FullAccess （Lambdaの全ての操作権限）

こちらの権限が無いと、サインインしているI AMユーザーにコンソール上からLambda関数の作成、実行などの操作を行うことが出来ません。

I AMロール側

AmazonS3FullAccess （S3の全ての操作権限）
AWSLambdaBasicExecutionRole (Lambda関数を実行するための基本的な権限)

前者は実行するLambda関数からS3バケットに対してファイルの読み書き操作、後者は作成したLambda関数自体を実行するために必要なポリシーとなります。

これらのポリシーを割り当てた※I AMロールをLambda関数作成時に実行ロールとして設定します。

※書籍では「role-lambdaexec」という名前で作成

AdministratorAccessについて

I AMを操作するためには、サインインしているI AMアカウントにAdministratorAccessという管理者権限のポリシーが必要ですので、
無い場合は同ポリシーを持つI AMユーザーへサインインし直して上記のI AMの操作を行うか、新しいI AMユーザーに同ポリシーをアタッチしてから操作を行います。

S3バケット側で権限を設定するには？

前述のように、書籍ではLambda関数からS3バケットを操作できるようにするために、Lambda関数の実行ロールにポリシーを設定する方法が解説されていました。

書籍では解説が省かれていたS3バケット側でポリシーを設定する方法について紹介します。

I AMロール「role-lambdaexec」に設定したLambdaの実行権限、AmazonS3FullAccesseはデタッチ（除外）しておきます。

この状態でLambda関数を実行すると、S3への操作権限が無いため下記のエラーが発生します。
[ERROR] ClientError: An error occurred (AccessDenied) when calling the GetObject operation: Access Denied