セキュリティ

Amazon Verified Permissions で実装するきめ細かい認可 - Cedar ポリシーによるアクセス制御

Cedar ポリシー言語で認可ロジックをアプリケーションコードから外部化し、Cognito 統合でトークンベースの認可判定を実現する手法を紹介します。

約 3 分で読めます

Verified Permissions の概要

Verified Permissions はアプリケーションのきめ細かい認可をマネージドに提供するサービスで、1 秒あたり数千の認可リクエストを処理します。従来、認可ロジックはアプリケーションコード内に if 文で実装されることが多く、ポリシーの変更にコードデプロイが必要でした。Verified Permissions は Cedar ポリシー言語で認可ルールを外部化し、ポリシーの変更をコードデプロイなしに反映します。Cedar は Amazon が開発したオープンソースの認可ポリシー言語で、形式検証が可能な設計になっています。ポリシーの評価結果は決定論的であり、同じ入力に対して常に同じ認可判定を返すため、認可のデバッグと監査が容易です。

Cedar ポリシーと Cognito 統合

Cedar ポリシーは permit (許可) と forbid (拒否) のステートメントで構成されます。「ユーザー A はドキュメント X の read アクションを許可」「管理者ロールは全リソースの全アクションを許可」といったルールを宣言的に記述します。forbid ポリシーは permit より優先されるため、特定条件でのアクセス拒否を確実に実装できます。条件句 (when/unless) を使えば、「営業時間内のみアクセス許可」「IP アドレスが社内ネットワーク範囲の場合のみ許可」といった動的条件も表現可能です。Cognito との統合では、ID トークンのクレーム (グループ、カスタム属性) を Cedar ポリシーのプリンシパル属性として使用し、トークンベースの認可判定を実現します。API Gateway のオーソライザーとして Lambda を配置し、Verified Permissions の IsAuthorized API を呼び出すパターンが一般的です。

ポリシーストアとバッチ認可

ポリシーストアは Cedar ポリシーのコレクションで、アプリケーションごとに作成します。スキーマでエンティティタイプ (User、Document、Folder) とアクション (Read、Write、Delete) を定義し、ポリシーの構文検証を自動化します。スキーマを定義することで、存在しないエンティティタイプやアクションを参照するポリシーの作成を防止できます。IsAuthorized API で単一のリクエストを認可し、BatchIsAuthorized API で最大 30 件のリクエストを一括認可します。バッチ API はリスト画面で複数リソースへのアクセス権を一度に判定する際に有効で、個別 API を繰り返し呼ぶよりレイテンシが低減します。ポリシーテンプレートで共通パターンを定義し、テンプレートリンクポリシーでユーザーやリソースを動的にバインドすることで、ポリシーの管理を効率化します。CloudTrail で認可リクエストのログを記録し、アクセスパターンの分析と監査に活用します。 Verified Permissions のベストプラクティスを網羅的に学ぶなら、技術書 (Amazon)を参照してください。

設計のベストプラクティスと落とし穴

ポリシー設計では、RBAC (ロールベース) と ABAC (属性ベース) を組み合わせたハイブリッドモデルが推奨されます。基本的な権限はロールで管理し、「ドキュメントの所有者のみ削除可能」のような細粒度の条件は属性で表現します。よくある落とし穴として、ポリシー数の増大によるデバッグ困難があります。1 つのポリシーストアに数千のポリシーが蓄積すると、特定の認可判定がどのポリシーで評価されたか追跡が難しくなります。対策として、ポリシーテンプレートを活用して共通パターンを抽象化し、実体ポリシーの数を抑制します。また、Cedar の形式検証ツールを CI パイプラインに組み込み、ポリシー間の矛盾 (同一リクエストに permit と forbid が同時適用される状態) をデプロイ前に検出することが重要です。認可結果のキャッシュを実装する場合、キャッシュ TTL はポリシー変更の即時反映要件とのトレードオフです。リアルタイム性が求められるアプリケーションでは TTL を短く (数秒)、読み取り頻度が高くポリシー変更が稀なアプリケーションでは長く (数分) 設定します。

他の認可方式との比較

アプリケーション認可には複数のアプローチがあり、要件に応じて選択します。IAM ポリシーは AWS リソースへのアクセス制御に特化しており、アプリケーション内のビジネスロジックに基づく認可 (「この文書の作成者のみ編集可能」) には不向きです。Verified Permissions はこのアプリケーション層の認可を担います。Open Policy Agent (OPA) は Rego 言語で汎用的なポリシー記述が可能ですが、自前でポリシーエンジンのホスティングと可用性管理が必要です。Verified Permissions はマネージドサービスとして可用性と拡張性を AWS が保証し、運用負荷が低い点が利点です。Cognito のグループベース認可は単純な RBAC に適しますが、リソースレベルの細粒度制御やポリシーの宣言的管理には対応しません。マルチテナント SaaS では、テナントごとにポリシーストアを分離し、テナント間のポリシー干渉を物理的に防止する設計が有効です。

Verified Permissions の料金

Verified Permissions の料金は認可リクエスト数で課金されます。100 万リクエストあたり約 15 ドルで、ポリシーストアの管理やスキーマの定義に追加料金は発生しません。Cognito との統合で、ユーザー認証 (Cognito) と認可 (Verified Permissions) を分離し、認可ロジックをアプリケーションコードから外部化します。リクエスト数が多いアプリケーションでは、認可結果をキャッシュしてリクエスト数を削減することでコストを最適化します。BatchIsAuthorized API は 1 回の呼び出しで最大 30 リクエストを処理しますが、課金は含まれるリクエスト数分 (30 リクエスト分) で計上される点に注意が必要です。

まとめ

Verified Permissions は Cedar ポリシー言語でアプリケーションの認可を外部化するサービスです。Cognito との統合でユーザー認証と認可を分離し、ポリシーストアのスキーマで構文検証を自動化します。BatchIsAuthorized API で複数リクエストを一括認可し、ポリシーテンプレートで共通パターンの管理を効率化します。RBAC と ABAC のハイブリッド設計により、シンプルなロール管理と細粒度の条件付きアクセス制御を両立し、CloudTrail で認可リクエストの監査ログを記録します。

関連するサービス

Amazon Verified PermissionsCedar ポリシー言語でアプリケーションの認可ロジックを外部化するサービスAmazon CognitoWeb ・モバイルアプリケーションの認証・認可とユーザー管理を提供するサービスAmazon API GatewayAPI の作成、公開、管理、監視を簡単に行えるフルマネージドサービス

関連する記事

AWS Verified Access で実現するゼロトラストアクセス - VPN 不要のアプリケーション接続VPN を排除し、ユーザー ID とデバイスのセキュリティ状態を毎回検証するゼロトラストアクセスを実現する。Cedar ポリシーによるきめ細かい制御を紹介します。Amazon Cognito で実装するユーザー認証 - User Pool と Identity Pool の設計Cognito User Pool によるユーザー認証、Identity Pool による AWS リソースアクセス、ソーシャルログインの統合を解説します。Amazon API Gateway の設計パターン - REST API と HTTP API の選定基準HTTP API と REST API の選定基準を明確にし、Cognito・Lambda オーソライザーの認証パターンとスロットリング設計の実践手法を紹介します。

同じテーマの記事

IAM Access Analyzer で検出する過剰なアクセス権限 - 外部アクセスと未使用権限の分析IAM ロールの未使用権限を CloudTrail ベースで検出し、最小権限ポリシーを自動生成する。外部アクセスの検出と CI/CD へのカスタムポリシーチェック組み込みまでを解説します。AWS Certificate Manager で自動化する SSL/TLS 証明書管理 - 発行からローテーションまでACM によるパブリック証明書の無料発行、DNS 検証、自動更新、ALB ・ CloudFront へのデプロイを解説します。AWS Artifact でコンプライアンスレポートを取得 - 監査対応と契約管理SOC・PCI DSS・ISO の監査レポートをオンデマンドで取得し、BAA や GDPR DPA を Organizations 全体に一括適用する手順を紹介します。監査の自動化 - AWS Audit Manager でコンプライアンス証跡を継続的に収集するAWS Audit Manager を使った監査証跡の自動収集を解説。フレームワーク (SOC 2、PCI DSS、GDPR 等) に基づく自動評価、エビデンスの一元管理、監査レポートの生成を紹介します。AWS アカウント ID の 12 桁に隠された構造 - なぜ 12 桁なのか、何が読み取れるのかAWS アカウント ID が 12 桁の数字である理由、ARN の構造に埋め込まれた設計意図、アカウント ID から推測できる情報とセキュリティ上の注意点を雑学的に解説します。AWS アカウントのルートユーザーはなぜ危険なのか - 権限分離の設計思想と封印の実践AWS ルートユーザーが IAM では制限できない特権を持つ理由、ルートユーザーでしかできない操作の一覧、MFA の設定方法、Organizations のルートアクセス管理による封印戦略を解説します。証明書管理と HTTPS 化 - AWS Certificate Manager による TLS 証明書の自動運用AWS Certificate Manager (ACM) を使った TLS/SSL 証明書の発行・自動更新・デプロイを解説。CloudFront ・ ALB ・ API Gateway との統合、DNS 検証、プライベート CA の活用まで紹介します。AWS CloudHSM で実現する専用鍵管理 - FIPS 140-2 Level 3 準拠の暗号化専有の HSM インスタンスで FIPS 140-2 Level 3 準拠の鍵管理を実現する。KMS との使い分けと、KMS カスタムキーストアによる両者の統合を紹介します。

内容が近い記事・サービス

Amazon Verified PermissionsCedar ポリシー言語を使ってアプリケーションの認可ロジックを外部化し、きめ細かなアクセス制御を実現するマネージドサービスAWS Verified AccessVPN を使わずにデバイスのセキュリティ状態と ID プロバイダーの認証情報に基づいて企業アプリケーションへのゼロトラストアクセスを実現するサービスID とアクセス管理の設計 - IAM によるゼロトラストセキュリティの実現AWS IAM を活用したアクセス管理の設計手法を解説し、最小権限の原則、ポリシー設計、Cognito との連携によるゼロトラストセキュリティの実現方法を紹介します。ゼロトラストネットワークアクセス - AWS Verified Access で VPN なしのセキュアアクセスを実現するAWS Verified Access を使った VPN レスのゼロトラストアクセスを解説。ID プロバイダー統合、デバイストラスト、ポリシーベースのアクセス制御、従来の VPN との比較を紹介します。