ARNとサービスエンドポイントの理解

ARN（Amazon Resource Name）は、AWSのすべてのリソースを一意に識別するIDです。ポリシーやログでは、すべてARNによってリソースを指定するため、ARNの読み方を学ぶことは不可欠です。

ARNは、コロンで区切られた固定形式です：arn:partition:service:region:account-id:resource。各部分によって対象が絞り込まれるため、長いARNでも一目で読み取れます。例を確認してください。

パーティションは通常awsで、GovCloudや中国向けには専用のパーティションがあります。サービスの部分にはs3やiamのようにサービス名が入ります。まずこの2つで大まかな対象範囲を決めます。

リージョンの部分にはリージョン名が入り、グローバルサービスでは空になります。account-idは所有者を示す12桁の番号です。クロスアカウントで作業する場合、この番号からリソースの所有者がわかります。

最後の部分はリソースそのもので、role/のようなプレフィックスが付くこともあります。1つの対象を正確に指定することも、ワイルドカードで複数を指定することもできます。IAMポリシーでは、主にこの部分を対象にします。

IAMポリシーでは、アクションの適用対象を正確に指定するため、ResourceフィールドにARNを記述します。ARNを読めば、権限が限定的か、それとも危険なほど広範囲かをすぐに判断できます。

ARN内のワイルドカード（*）は、複数のリソースに一致します。bucket/*は、その中のすべてのオブジェクトを意味します。単独の*はすべてに一致し、ほとんどの場合広すぎる権限になります。注意してください。

サービスエンドポイントは、リクエストが実際に到達するURLです。たとえばs3.us-east-1.amazonaws.comのようなものです。ほとんどはリージョン単位であるため、カバレッジもリージョンごとに設定します。

VPCエンドポイントを使うと、パブリックインターネットを経由せずに、リソースからAWSサービスへプライベートにアクセスできます。これによりトラフィックをAWS内に留め、外部への露出を減らせます。

ARNはリクエストの「何を」を示し、エンドポイントは「どこへ」を定義します。両者を組み合わせることで、正確なポリシーを記述できます。これは、最小権限に関する試験問題で重要なポイントになることがよくあります。

ARNはResourceフィールド以外にも登場します。ポリシーのconditionsやCloudTrailのログにも現れます。ARNをスムーズに読めれば、より厳格なルールを作成し、誰が何をしたのかを追跡できます。

ARNを読み解いてみましょう。

ARNはすべてのリソースを一意に識別し、ポリシーはResourceフィールドでARNを対象にします。広範囲のワイルドカードは最小権限の原則を損ないます。VPCエンドポイントを使うと、サービスへプライベートにアクセスできます。