1. IAMロールとIAMユーザーの違い

2. EC2インスタンスプロファイルの設定

# IAMロールを作成（EC2用）
aws iam create-role \
  --role-name EC2-S3ReadOnly \
  --assume-role-policy-document file://ec2-trust.json

# ec2-trust.json の内容
{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "ec2.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

# S3読み取りポリシーをアタッチ
aws iam attach-role-policy \
  --role-name EC2-S3ReadOnly \
  --policy-arn arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess

# インスタンスプロファイルを作成してEC2に付与
aws iam create-instance-profile --instance-profile-name EC2-S3ReadOnly-Profile
aws iam add-role-to-instance-profile \
  --instance-profile-name EC2-S3ReadOnly-Profile \
  --role-name EC2-S3ReadOnly

3. GitHub Actions でOIDCを使ったアクセスキーレス認証

GitHub ActionsからAWSにアクセスする場合、アクセスキーをSecretsに保存するのは非推奨です。GitHub OIDCとIAMのロール信頼ポリシーを設定することで、アクセスキー不要でGitHub ActionsがAWSのIAMロールを引き受けられます。

# 信頼ポリシーにGitHub OIDCプロバイダーを追加
{
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "Federated": "arn:aws:iam::ACCOUNT_ID:oidc-provider/token.actions.githubusercontent.com"
    },
    "Action": "sts:AssumeRoleWithWebIdentity",
    "Condition": {
      "StringEquals": {
        "token.actions.githubusercontent.com:aud": "sts.amazonaws.com"
      },
      "StringLike": {
        "token.actions.githubusercontent.com:sub": "repo:YOUR-ORG/YOUR-REPO:*"
      }
    }
  }]
}

4. アクセスキーを使わざるを得ない場合の管理

• 90日ごとのローテーション：アクセスキーは90日以内にローテーションすることをAWSのベストプラクティスとして推奨している
• Secrets Managerで管理：アクセスキーはAWS Secrets Managerに保存してアプリケーション起動時に動的取得する
• 最小権限ポリシー：アクセスキーに付与するポリシーは最小権限に限定する。AdministratorAccessは絶対に付与しない