1. なぜアクセスキーをコードに書いてはいけないか

2. IAMロールとインスタンスプロファイルの仕組み

IAMロールをEC2に付与するには「インスタンスプロファイル」という中間レイヤーを通じます。EC2にインスタンスプロファイルを設定すると、EC2内のアプリケーションはインスタンスメタデータエンドポイント（169.254.169.254）から一時的な認証情報を自動取得してAWSサービスに接続できます。boto3（Python）やAWS SDK等は自動的にこの認証情報を使用します。

3. Terraformでの設定例

# IAMロールの作成
resource "aws_iam_role" "ec2_role" {
  name = "ec2-app-role"
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Action = "sts:AssumeRole"
      Effect = "Allow"
      Principal = { Service = "ec2.amazonaws.com" }
    }]
  })
}

# S3読み取り権限をロールにアタッチ
resource "aws_iam_role_policy_attachment" "s3_read" {
  role       = aws_iam_role.ec2_role.name
  policy_arn = "arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess"
}

# インスタンスプロファイルの作成
resource "aws_iam_instance_profile" "ec2_profile" {
  name = "ec2-app-profile"
  role = aws_iam_role.ec2_role.name
}

# EC2にインスタンスプロファイルを付与
resource "aws_instance" "app" {
  iam_instance_profile = aws_iam_instance_profile.ec2_profile.name
  # ... 他の設定
}

4. LambdaとECSへのIAMロール付与

• Lambda実行ロール：LambdaにはLambda用の実行ロール（Lambda Execution Role）を作成してアタッチする。CloudWatchLogsへの書き込み権限は必ず含める
• ECSタスクロール：ECSのタスク定義にはタスクロール（タスク内のコンテナがAWSを使う権限）とタスク実行ロール（ECSがECRからイメージをプルする権限）の2種類を設定する