IAM Policy Autopilot がついに Terraform にも対応したよ！

やっほー、しぃちゃんだよ！今日は AWS What's New で見つけたニュースを紹介するね。IAM ポリシーを書くのが面倒だなって思ったことがある人には、けっこう嬉しい話だよ！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS What's New で、オープンソースツール「IAM Policy Autopilot」が Terraform の plan ファイルから IAM ポリシーを生成できるようになったっていう発表があったよ。

IAM Policy Autopilot は re:Invent 2025 で登場したツールで、コードを解析して必要最小限に絞り込んだ IAM ポリシーを自動生成してくれるの。IAM ポリシーを手書きしたり、アクセスエラーの原因を探ったりする時間を減らしてくれる便利な子だよ。

今までどうだったの？

これまでの IAM Policy Autopilot は、アプリケーションのソースコードを解析することはできても、Terraform みたいな Infrastructure as Code で定義された「インフラをデプロイするための IAM ポリシー」までは生成できなかったの。アプリのコードから読み取れる SDK 呼び出しは分析できても、Terraform でリソースを作る・変更する・消すときに必要な権限までは面倒を見てくれなかった、ってことだね。実はこれ、ツールが登場してから一番多く要望が寄せられていた機能だったんだって。

これで何が変わるの？

Terraform の plan ファイルをそのまま入力として渡せるようになって、そのプランに含まれるリソースの CRUD 操作(作成・読み取り・更新・削除)にスコープを絞ったポリシーを、決定論的な分析で生成してくれるようになったの。しかも生成されるポリシーは、可能な場合はワイルドカードじゃなくて具体的なリソース ARN を指定してくれるから、より安全で読みやすいポリシーになるんだって。既存の「Terraform のリソース定義とアプリコードの SDK 呼び出しを突き合わせて ARN を解決する」分析機能とも組み合わせて使えるよ。

深く潜ってみよう

• 追加コストなしで使えて、自分のマシン上で動かせるツールだよ
• 入力は Terraform の plan ファイル。実行して apply する前の段階でポリシーを確認できる
• 生成されたポリシーはあくまでベースラインなので、そこから必要に応じて調整して使う想定
• 気になる人は IAM Policy Autopilot の GitHub リポジトリから試せるよ

まとめ

• IAM Policy Autopilot が Terraform plan ファイルからの IAM ポリシー生成に対応した
• これまではアプリのソースコードしか解析できなかったけど、IaC でデプロイするインフラ向けのポリシーも作れるようになった
• 生成ポリシーはリソースの CRUD 操作にスコープを絞り、可能な限り具体的な ARN を使う
• 追加コストなしで自分の環境で動かせる
• Terraform で AWS リソースを管理していて、IAM ポリシーの管理に手間を感じている人にぴったりだよ！