IAMというのは例のAWSのアレ。ユーザのアカウントと権限を管理するやつ。 このサービス、機能が多くてややこしいところがあり、具体的には以下のポリシーで運用するときにそのものズバリの情報がすぐに見つからなかったので、この場でまとめとこうかなって思った。 原則、ユーザ管理操作は禁止 しかしそれぞれのユーザは自分のパスワードを更新できるようにしたい さらにそれぞれのユーザは、自分だけAPI AccessKeyの発行をしたい なお管理のために miam を使う。miamの使い方は説明しませんが、簡単なのでREADMEなど見て入れてください。 原則、ユーザ管理操作は禁止 最初に NotAction でiam系のAPI利用を前面禁止する。許可がホワイトリスト型になる。 group "PowerUser" do policy "PowerUser-NotAllowIam" do {"Version"=