AWS IAM PolicyのForAllValuesを勘違いしてた件 - LayerX エンジニアブログ

LayerX Fintech事業部（※）で、ガバナンス・コンプラエンジニアリングをしている 鈴木 (@ken5scal )です。 ※三井物産デジタル・アセットマネジメントに出向しています。 今回は、AWS IAMポリシーの条件における「ForAllValues」の仕様を誤って理解していたことから、安全でないアクセス制御を実装していたという内容です。もし同様の勘違いをされている方がいたら参考になれば幸いです。 ユースケース AWS IAMユーザーを、ロールの trust policy がユーザーのタグで制御するケースで考えます。 具体的には、「Group A あるいは Group B」に所属し、且つ「Admin」権限のあるユーザーのみが行使できる役割「AdminABRole」があるとしましょう。 この場合、Group と Admin のタグが存在し、下記のようなパターン（※）が考えられます。

[NEXTAltair]

話は変わるがサムネが俺が前に作った画像とそっくりだな。画像生成AIの限界を感じた

[tomoya_edw]

自分が無くて無駄に力が入って見える絵はAI。

[bfoj]

なんとなくでiam

[sh19910711]

"aws:PrincipalTag/{tag-key} （が含まれるContext Keys）が存在しない場合、あるいは、その値がnullデータセットと判定される場合、trueを返します / コンソール上であればIAM Access Analyzerが警告"

[nabinno]

はまりそうだ