こんにちは、Stです！
AWSを触り始めて一番最初に設定することになるのが IAM (Identity and Access Management) です。
そして、一番最初に「よくわからない…」とつまずくのもこのIAMではないでしょうか？
「ユーザーとロールって何が違うの？」「ポリシーってどう書くの？」といった疑問を、AWS認定資格（CLFやSAA）の学習にも役立つように、初心者向けにわかりやすく整理して解説します。
1. IAMとは？（何のためのサービスか）
IAM（アイアム）は、一言でいうと**「AWSリソースに対するアクセス権限を管理するサービス」**です。
「誰が（Who）」「どのAWSサービスに（What）」「何をしていいか（How）」を厳密にコントロールします。
例えば、
- Aさんは「EC2（サーバー）」を起動・停止できるけど、「S3（ストレージ）」は見れない。
- Bさんは「S3」のファイルをダウンロードできるけど、アップロードはできない。
といった細かいルールを決めるための門番のような役割を果たします。AWSを利用する上でのセキュリティの根幹となる最重要サービスです。
2. IAMを構成する4つの基本要素
IAMを理解するためには、以下の4つの用語の違いをしっかり区別することが鍵になります。
① IAM ユーザー (User)
**「AWSを操作する『人』や『プログラム』」**のことです。
AWSアカウントを作成した時のメールアドレス（ルートユーザー）とは別に、普段の作業用に作成します。「開発者の田中さん用のアカウント」「システム連携用のAPIアクセスキー」などがこれに該当します。
② IAM グループ (Group)
**「複数のIAMユーザーをまとめる箱」**です。
例えば「開発チーム」というグループを作り、そこに田中さんと鈴木さんを入れます。そして「開発チーム」に対して権限を付与することで、一人ひとりに権限を設定する手間を省き、管理を楽にします。（※ベストプラクティスとして、権限はユーザー個人ではなくグループに付与すべきとされています）
③ IAM ポリシー (Policy)
**「具体的な権限が書かれたルールブック（許可証）」**です。
JSON形式で書かれており、「S3のバケットAに対して、ファイルの読み取り(GetObject)を許可(Allow)する」といった内容が記載されています。
IAMユーザーやグループは、この「ポリシー」をアタッチ（紐付け）されて初めて、AWSを操作できるようになります。
④ IAM ロール (Role)
ここが一番つまづきやすいポイントです！
ロールは**「人間ではなく『AWSリソース（EC2やLambdaなど）』がかぶる『帽子（一時的な権限）』」**と覚えてください。
例えば、EC2の中で動いているプログラムが、S3の画像を読み込みたいとします。
この時、EC2サーバー自体に「S3を読み込む権限を持った帽子（IAMロール）」をかぶせることで、安全にアクセスできるようになります。パスワードやアクセスキーを発行する必要がないため、非常に安全です。
3. 実務と試験で問われるベストプラクティス
AWS認定資格では、IAMに関する「ベストプラクティス（推奨される設計）」が頻出します。以下の3つは必ず覚えておきましょう！
- ルートユーザーは日常業務で使わない
- AWSアカウントを作成した最初のメールアドレスは、すべての権限を持つ「神」です。MFA（多要素認証）を設定し、普段は封印します。日常業務は管理者権限を付与したIAMユーザーで行います。
- 最小権限の原則 (Principle of least privilege)
- 必要な人に、必要な操作だけを、必要な期間だけ許可します。「面倒だからとりあえずAdministratorAccess（全権限）を付与する」のは絶対にNGです。
- EC2やLambdaからのアクセスには「ロール」を使う
- プログラムのソースコード内にアクセスキーをハードコーディング（直接書き込む）してはいけません。必ず「IAMロール」を割り当ててアクセスさせます。
まとめ
- ユーザー: 操作する「人」
- グループ: 人をまとめる「箱」
- ポリシー: 権限が書かれた「ルールブック」
- ロール: AWSサービスがかぶる「一時的な帽子」
この4つの関係性を理解すれば、AWSのセキュリティ構築が一気に楽しくなります！当サイトの問題集でもIAMに関する問題がたくさんあるので、ぜひ解いて理解度をチェックしてみてください！