01
文書の形を確かめる
Statementには単一オブジェクトも配列も使えます。信頼ポリシーの例ではPrincipalがありResourceがない形を確認できます。通常のアイデンティティ形式でResourceが欠ける場合は別です。
クラウドツール
IAMポリシーの検証
ポリシーJSONを貼り付け、Statementツリー、整形結果、静的レポートを照合します。
IAMポリシーの検証
ポリシーJSON
Statementツリーと結果
Statement 1 · ReadReports
- Effect
- Allow
- Action
- s3:GetObject s3:ListBucket
- Resource
- arn:aws:s3:::example-reports arn:aws:s3:::example-reports/*
- Condition
StringEquals · aws:RequestedRegion: ["us-east-1"]
確認事項（1）
- Resourceのワイルドカードを確認してください。 場所：/Statement/0/Resource/1
ポリシー本文はこのブラウザー内で処理し、AWSへ送信しません。
オプション
声明1件、エラー0件、確認事項1件。
複数のStatementをレビューするとき、IAMポリシーの検証ではAction、Resource、Conditionを声明ごとに追えます。NotActionやロールの信頼ポリシーでは、元のフィールド名を保ったまま読むことが重要です。
ここで分かるのは手元の文書の構造です。IAMポリシーの検証は組織の制限、ほかのポリシー、リクエスト条件を取得しないため、実際の許可は決定できません。 IAMポリシー検証チェックという検索で求める構文確認を行いますが、実効権限は別の問題です。
IAMポリシーの検証で見通しをよくする理由
声明の順序と意味を保つ
IAMポリシーの検証はStatementを元の順番で表示します。ActionとNotAction、ResourceとNotResourceを取り違えず、Conditionの演算子と値をJSONと見比べられます。
エラーと注意点を別扱いにする
JSON構文と排他的要素の併記はエラーです。ワイルドカードや逆指定は確認事項です。星印が必要なAWS操作もあるため、この表示だけで危険とは断定しません。
結果を読み違えないための三段階
02
表示を切り替える
初期表示は声明ツリーです。整形JSONは入力を上書きせず、既定では2スペースです。レポートは抽出要素とパスを示します。インデントを変えると古い出力は無効になります。
03
出力前に件数を見る
状態欄はエラーと注意点を別々に数えます。厳密なJSON解析に失敗した文書は整形出力できません。画面が最初の50件でも、報告のダウンロードは全件を含みます。
ブラウザー内で抽出される要素
Statementツリー
Sid、Effect、ActionまたはNotAction、ResourceまたはNotResource、Principal、Conditionを声明ごとに表示します。元の配列順も維持します。
場所が分かる診断
構文エラーには行と列を、形の問題にはJSONポインターパスを示します。IAMポリシーの検証では該当する声明へ戻れます。
原文を変えない整形
整形結果は独立した出力です。重複キーや安全に扱えない大きな整数は、値の上書きや丸めを避けるため整形を止めます。
全件を含む報告
抽出結果、静的な検査範囲、診断コードとパスをJSONで保存できます。ツリーの折りたたみや表示件数はエクスポートを切り詰めません。
この静的チェックの限界
- 実効権限は決められない
- IAMポリシーの検証が読むのは一文書だけです。リソースポリシー、SCP、権限境界、セッションやリクエスト条件を組み合わせた評価ではありません。
- 最新サービス仕様は確認しない
- ActionとConditionの文字列はそのまま表示します。操作名や条件キーが現在のサービスで有効かどうかは、オンラインの定義を照会しないため保証しません。
- ワイルドカードを展開しない
- *や?は注意点として示すだけです。構文違反や管理者権限の証明ではありません。NotActionとNotResourceも逆指定のまま保持します。
- 厳密な単一JSONだけ
- コメント、末尾のカンマ、YAML、連結した複数文書は受け付けません。Principalを持つ信頼声明ではResourceが省略される場合があります。
- 修復もAWS呼び出しもしない
- 整形結果は入力を書き換えません。Denyの削除、Conditionの実行、リソースの存在確認やポリシー送信は行いません。 JSONポリシーエディタのように入力を更新する機能はありません。
IAMポリシーの検証に関する質問
実際に付与されるアクセス許可まで確認できますか？
確認できません。一つの文書だけを調べるため、ほかのポリシーや組織の制限、実際のリクエスト条件を含むAWSの評価結果は分かりません。 ポリシーのアクセス許可は他の文書と要求条件にも左右されます。
ActionやResourceのワイルドカードは構文エラーですか？
いいえ。ワイルドカードが許される箇所があります。ActionやResourceの元の値を残して注意点を示しますが、妥当性は用途とサービス仕様で判断してください。
ポリシーが外部に送信されますか？
送信しません。解析と整形はブラウザー内で行い、AWSへの要求やLLMによる文書解析も行いません。
どの種類のポリシーを確認できますか？
アイデンティティ形式やリソース形式のJSON文書、ロールの信頼声明を閲覧できます。種別ごとの完全な認証やサービス固有規則の検査ではありません。
警告だけで完全なセキュリティ監査になりますか？
なりません。ここでの注意点は限定した構造とワイルドカードの確認です。広い点検にはAWS Access Analyzerと実際のアカウント構成が必要です。
解決しませんでしたか？