iam-audit-lab

プロジェクトについて

IAM Audit Lab は、クラウド (AWS、Azure、GCP) およびオンプレミス環境にまたがる Identity and Access Management 設定を分析・評価するために設計された強力な監査プラットフォームです。IAM とは、適切な人やサービスが適切なリソースへ適切なレベルでアクセスできるようにし、それ以上を与えないセキュリティ分野です。この原則は 'least privilege' と呼ばれ、未承認アクセスを防ぎ、セキュリティ侵害の blast radius を抑えるうえで基本となります。 このプラットフォームは、いくつかの重要な観点で詳細分析を行います。Privilege Analysis は、実際の業務上の必要性を超える権限を持つユーザー、ロール、service accounts を特定します。これは、従業員の役割やプロジェクトが時間とともに変化する中で自然に発生する 'privilege creep' という状態です。Orphan Account Detection は、退職した従業員、廃止されたサービス、あるいは適切に整理されなかったテスト環境に属するアカウントを見つけ出します。これらはそれぞれ、攻撃者にとって監視されていない侵入経路となります。Policy Compliance Verification は、IAM 設定を業界ベンチマーク (CIS、NIST) と組織ポリシーに照らして確認し、リスクを高める逸脱をフラグします。 このラボは、どの権限が過剰なのか、なぜそれがリスクなのか、そして各ユーザーやサービスに必要な最小限の IAM ポリシーを含む具体的な是正手順を示す詳細レポートを生成します。レポートは HTML (人間による確認用)、JSON (自動化用)、CSV (スプレッドシート分析用) で提供されます。 複数のクラウドプロバイダにまたがって数百、数千の IAM エンティティを管理する組織にとって、このラボはアイデンティティリスクの統合ビューを提供し、最も影響の大きい場所から是正作業を優先できるようにします。

なぜ重要か

Identity and Access Management の設定ミスは、クラウドセキュリティ侵害の最大要因として一貫して第1位にランクされています。複数の業界レポートによれば、90% 以上のクラウドアカウントが過剰な権限を持っており、平均的な組織には侵害されうる inactive accounts が数百存在します。大手企業での高名な侵害事例も、過剰権限の service accounts、古い credentials、または不適切に範囲設定された roles に繰り返し起因しています。 課題はスケールです。現代のクラウド環境では、前例のない速度で IAM エンティティが作成されます。各 serverless function、container、CI/CD pipeline、microservice は、それぞれ固有の権限を持つ独自の identity を必要とします。これらを手動で監査するのは人間には不可能ですが、クラウドプロバイダの自動化ツールは自社プラットフォームしかカバーしないため、マルチクラウド組織には盲点が残ります。 このラボは、クロスクラウドの IAM 可視化、自動分析、実行可能な是正ガイダンスを提供することで、そのギャップを埋めます。IAM 監査を、定期的で手作業のチェックリスト作業から、悪用される前に設定ミスを捉える継続的かつ自動化されたプロセスへと変革します。

ステップバイステップガイド

1. 監査したい各クラウド環境に対して、読み取り専用アクセスの credentials を設定します。このラボは IAM 設定を分析するために読み取り権限のみを必要とします (書き込み権限は不要です)。/docs/aws-setup.md、/docs/azure-setup.md、/docs/gcp-setup.md の各プロバイダ別セットアップガイドに従ってください。これらには監査アカウントに必要な最小限の IAM ポリシーが含まれています。
2. 'iam-audit scan --provider aws' (または azure、gcp、マルチクラウドの場合は 'all') を実行して IAM スキャナーを起動します。スキャナーはすべての IAM エンティティを列挙し、有効権限を分析し、CIS ベンチマークと照合し、異常を特定します。完全スキャンには通常、環境の規模に応じて 5〜15 分かかります。
3. HTML と JSON の両形式で生成される包括的な結果レポートを確認します。レポートは、重要度 (critical、high、medium、low)、影響を受けるリソース、是正工数で findings を分類します。重大な findings には、service accounts の admin-level access、privileged users で MFA が有効でないこと、90 日以上ローテーションされていない API keys などが含まれます。
4. 付属の playbooks を使用して、提案された是正を適用します。各 finding には、過剰権限の role を置き換えるための最小限の IAM policy など、具体的でそのまま貼り付け可能な remediation が含まれています。適用前に変更を確認するには 'iam-audit apply --dry-run' を使用し、運用への影響がないことを確認してください。

使用技術