配属先で「その作業、IAMの権限ある?」「ロールを付けておいて」といった会話が飛び交い、ついていけないと感じていませんか?IAMは、AWSを触るなら初日から関わることになる、権限管理の基本サービスです。
この記事では、そのIAMを「会社の社員証と入退室の権限設定」という例え話を軸に、仕組み・現場での使いどころ・料金の考え方まで、専門用語をかみ砕いて解説します。
結論を先に言うと、IAMとは誰がAWSの何を操作してよいかを決めるサービスです。
この記事でわかること
- IAMがどんなサービスか(例え話つき)
- ユーザー・グループ・ロール・ポリシーという4つの用語の違い
- IAMの料金(基本は無料である理由)
IAMとは?一言でいうと「AWSの社員証と入退室の権限」
IAM(アイアム)とは、AWSのリソースを誰がどこまで操作できるかを管理するサービスです。正式名称は「AWS Identity and Access Management」といいます。
会社に入ると、まず社員証を受け取ります。その社員証があれば建物には入れますが、サーバールームや役員室まで入れるとはかぎりません。役割に応じて、開けられるドアが決まっているからです。
AWSでもまったく同じ考え方をします。社員証にあたるのが利用者の身元(アイデンティティ)で、どのドアを開けてよいかの設定にあたるのが権限です。この2つをまとめて管理するのがIAMです。
だからこそ、AWSでは「そのサーバーを作れるか」より前に「あなたにその操作が許されているか」が先に問われます。IAMを外して、AWSの作業は一歩も進みません。
IAMの仕組みと使いどころ
IAMで覚える4つの用語
IAMの話には、必ずセットで登場する用語があります。会社の例えのまま、4つだけ押さえましょう。
- ユーザー: 一人ひとりに配られる「社員証」。誰がアクセスしているかを表します
- グループ: 「部署」にあたるまとまり。開発部に入れば開発部の権限がまとめて付きます
- ポリシー: 「どのドアを開けてよいか」を書いた許可証。JSONという形式で書かれます
- ロール: 一時的に借りる「来客用の入館パス」。人だけでなくサーバーにも渡せるのが特徴です
特にロールは、新社会人がつまずきやすいところです。ユーザーとの違いは、持ち主が固定されず、必要なときだけ借りて使う点にあります。しかも借りられるのは人だけではありません。
新社会人がIAMに出会う場面
入社1〜3年目でよくあるのは、「サーバーからファイルが読めない」という相談です。原因の多くは、サーバー自身に権限が付いていないことにあります。
たとえばEC2(仮想サーバー)からS3(保存用の倉庫)のファイルを読みたいとき、EC2にロールを付けておけば、パスワードを書かなくても読めるようになります。サーバーに入館パスを持たせるイメージです。
もう一つ現場でよく聞くのが「最小権限」という言葉です。必要な仕事に必要な分だけ権限を渡す、という考え方で、AWSが公式にすすめている原則でもあります。とりあえず全権限を付ける、は事故のもとです。
IAMと関連サービスの違い・つながり
IAMは何かを動かすサービスではなく、他のすべてのサービスの手前に立つ「門番」として働きます。よく混同されるものとの違いを整理します。
- セキュリティグループ: VPCで登場する通信の制御です。「どこからの通信を通すか」を見るのに対し、IAMは「誰がどの操作をしてよいか」を見ます。守る対象がネットワークか操作かで別物です
- IAM Identity Center: 複数のAWSアカウントや社内のIDと連携して、まとめてログインを管理する仕組みです。会社が大きくなるほど出番が増えます
- MFA(多要素認証): ログイン時にパスワードへ追加の確認を足す仕組みです。社員証に暗証番号を足すようなもので、特に強い権限を持つ利用者では必須の扱いになります
「IAMは操作の可否、セキュリティグループは通信の可否」。この対比を覚えておくと、現場の会話でどちらの話をしているか迷いません。
IAMの料金と無料枠
IAMの利用に追加料金はかかりません。AWS公式も「IAM は追加料金なしで提供される」と明記しています。ユーザーやロールをいくつ作っても、それ自体は無料です。
ただし、料金が発生する点が一つだけあります。IAMで許可した操作の先で使ったサービスには、通常どおり課金されるということです。権限を渡すこと自体は無料でも、その権限でEC2を起動すれば、EC2の料金はかかります。
また、権限の使われ方を点検するIAM Access Analyzerには、有料の機能があります。執筆時点(2026年8月)では、未使用のアクセスを分析する機能が、分析したロールやユーザーの数に応じた課金です。基本的なチェック機能は無料で使えます。
まとめると、学習段階でIAMを触る分には費用の心配はいりません。最新の条件は公式の料金ページで確認してください。
まとめ:IAMはAWSの「門番」になるサービス
この記事の要点をふり返ります。
- IAMは、誰がAWSの何を操作してよいかを決めるサービス。社員証と入退室の権限にあたる
- ユーザー(社員証)・グループ(部署)・ポリシー(許可証)・ロール(一時的な入館パス)をセットで覚える
- IAM自体は無料。必要な分だけ権限を渡す「最小権限」を習慣にする
次の一歩は、マネジメントコンソールでIAMの画面を開き、自分のユーザーにどんなポリシーが付いているかを眺めてみることです。自分の社員証で開くドアが分かると、この記事の例えがそのままつながります。
コメント