AWS Identity and Access Management (IAM) Access Analyzer は、許可を設定、検証、調整するツールを提供することで、最小特権を実現するためのガイドを提供します。IAM Access Analyzer は、アクセス分析の検出結果を提供し、ポリシーチェック、ポリシー生成を行います。

IAM Access Analyzer を有効にすると、アカウントや AWS 組織に外部アクセス、内部アクセス、未使用アクセスがないかどうかを定期的にチェックするアナライザーが作成されます。アナライザーは、IAM ロール、IAM ユーザー、AWS リソースのアクセス検出結果を生成します。外部アクセスアナライザー、内部アクセスアナライザー、未使用アクセスアナライザーの 3 種類のアナライザーを有効にできます。

• 外部アクセスアナライザーは、AWS リソースのパブリックアクセスおよびクロスアカウントアクセスの検出結果を作成します。これは追加料金なしでご利用いただけます。
• 内部アクセスアナライザーは、ビジネスクリティカルな AWS リソースにアクセスできる AWS 組織内の IAM ロールとユーザーを識別します。これは有料機能です。内部アナライザーを有効にするたびに、監視対象リソース、リージョンごとに月額料金が発生します。
• 未使用アクセスアナライザーは未使用アクセスを検査し、最小特権になるように導かれます。これは有料機能です。未使用のアクセスアナライザーを有効にするたびに、IAM ロールまたは IAM ユーザーごとに月額料金が発生します。IAM ロールとユーザーはグローバルであるため、パーティション内のすべてのリージョンで有効にする必要があるアナライザーは 1 つだけです。

内部アクセスアナライザーと未使用アクセスアナライザーの料金は、セットアップ時に一度発生し、その後は毎月、月初に発生します。

IAM Access Analyzer には、2 種類のポリシーチェックもあります。

• IAM Access Analyzer ポリシー検証では、IAM のベストプラクティスに基づいて安全で機能的なポリシーを作成し、検証できます。これは追加料金なしでご利用いただけます。
• IAM Access Analyzer のカスタムポリシーチェックは、開発者が作成したポリシーがデプロイ前に指定したセキュリティ標準に準拠していることを検証します。これは有料機能です。カスタムポリシーチェックは、自動推論 (数学的証明に裏付けられた証明可能なセキュリティ保証) を利用して、セキュリティチームがポリシーの不適合な更新を積極的に検出することを可能にします。カスタムポリシーチェックでは、IAM Access Analyzer API を呼び出して実行したチェックの数に基づいて課金されます。

IAM Access Analyzer によるポリシー生成では、ログに記録されたアクセスアクティビティに基づいて、きめ細かなポリシーが生成されます。これは追加料金なしでご利用いただけます。