IAM Access Analyzer は、最小権限の許可に向けてガイドします。

IAM Access Analyzer によるポリシー生成では、ログに記録されたアクセスアクティビティに基づいて、きめ細かなポリシーが生成されます。つまり、アプリケーションを構築して実行した後に、アプリケーションの操作に必要な許可のみを付与するポリシーを生成することができます。

IAM Access Analyzer によるポリシー検証では、100 種類以上のポリシーチェックにより、安全で機能的なポリシーを作成、検証することができます。これらのチェックは、新しいポリシーの作成時や既存のポリシーの検証に使用できます。

IAM Access Analyzer では、パブリックおよびクロスアカウントの検証結果により、既存のアクセスがお客様の意図に合っているかどうかを確認できます。IAM Access Analyzer は、証明可能なセキュリティを用いてすべてのアクセスパスを分析し、リソースへの外部からのアクセスを包括的に分析します。IAM Access Analyzer をオンにすると、新規または更新されたリソースのアクセス許可を継続的にモニタリングして、パブリックアクセスおよびクロスアカウントアクセスを許可するアクセス許可を特定することができます。例えば、Simple Storage Service (Amazon S3) バケットポリシーが変更されると、IAM Access Analyzer は、ユーザーがアカウントの外部からバケットにアクセスできることを警告します。

この同じ分析を使用して、IAM Access Analyzer で、アクセス許可の変更をデプロイする前のパブリックアクセスとクロスアカウントアクセスのレビュー、および検証がより簡易になります。

ラストアクセス情報は、AWS のサービスが最後に使用された時期に関するデータを提供し、許可を強化する機会を特定するのに役立ちます。この情報をもとに、付与された許可とそれらの許可が最後にアクセスされた時期を比較することで、未使用のアクセスを削除し、許可をさらに洗練させることができます。

また、IAM ロールやアクセスキーの最終使用タイムスタンプを利用して、不要になった IAM エンティティを削除することもできます。