外部ディレクトリを使ったAWSアクセスを選ぶ

認証、認可、資格情報、IAMポリシーを分けて、誰がどの方法でAWSへアクセスするかを整理する。

フェデレーションで外部Identity ProviderとAWSのロールを連携する

フェデレーションは外部の認証基盤で認証した利用者へ、AWSのロールによる一時アクセスを提供する。

すべての利用者をrootユーザーとして登録する

rootユーザーはアカウントに1つの強い主体であり、利用者管理の方式ではない。

各利用者のパスワードをアプリケーションの環境変数へ固定する

固定された長期パスワードは認証情報管理の負担と漏えいリスクを増やす。

IAMポリシーを作成せず、AWSサービスをすべて公開する

ポリシーのない公開設定は認証や権限管理を提供しない。

フェデレーション

外部の認証基盤で認証した利用者をAWSのロールへ連携する方式。

Identity Provider

利用者の本人確認を担当する外部の認証基盤。