IAM ポリシー管理が自動化しやすく！Service Reference にグローバル条件キーとデータプレーン判定が追加

やっほー、しぃちゃんだよ！IAM ポリシーを手で管理している人に嬉しいニュースを見つけちゃった！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、AWS Service Reference Information（サービスリファレンス情報）の拡張が発表されたよ！IAM ポリシー管理を自動化して、最新のサービス更新に合わせ続けやすくするための機能なの。

追加されたのは次の 3 つだよ！

• aws: で始まるグローバル条件キーを、1 つの機械可読ファイルにまとめたもの
• サービス識別子を人間が読める名前に対応づける ServiceName フィールド
• どのアクションがデータプレーン操作かを示す IsDataPlane プロパティ

なぜ重要なの？

ポリシーを正しく書くには、サービスごとのアクションや条件キーを把握しておく必要があるよね。それを手作業で追いかけるのは大変で、サービス更新のたびにポリシーとのズレも出やすいの。

今回の追加で、グローバル条件キーも含めて機械的に取得できる材料が増えたよ！

これで何が変わるの？

取得を自動化すれば、手作業の確認を減らせるよ。既存のポリシー管理ツールや運用プロセスにそのまま組み込めるのもポイントだよ！

• ポリシー検証ツールの作成者: グローバル条件キーの一覧を 1 ファイルから取れる
• ポリシーのレビュー担当: IsDataPlane でデータプレーン操作かどうかを機械的に区別できる
• ダッシュボードやレポートを作る人: ServiceName で識別子を読みやすい名前に変換できる

深く潜ってみよう

原文から分かる範囲はここまでだよ。

• 追加料金なしで使える
• 取得方法の詳細は、AWS ドキュメントの programmatic service reference information のページに案内されている

ファイルの具体的なスキーマや URL は原文では詳しく触れられていないので、使うときはドキュメントで確認してね。

まとめ

• グローバル条件キー（aws: 系）が 1 つの機械可読ファイルで取得できる
• ServiceName で識別子と読みやすい名前を対応づけられる
• IsDataPlane でデータプレーン操作を判別できる
• 追加料金なし

IAM ポリシーの管理や検証を自動化したいセキュリティ担当・プラットフォームエンジニアのみんなに刺さる更新だよ！