AWS サービス参照情報の拡張：グローバル条件キー、サービス名、データプレーン分類のサポート

AWSは、IAMポリシー管理の自動化を支援するため、プログラムによるサービス参照情報の提供範囲を拡張しました。具体的には、aws:- で始まるすべてのグローバル条件キーを単一のマシン読み取り可能なファイルに統合、サービス識別子を人間が読み取れる形式にマッピングする ServiceName フィールドの導入、および各アクションがデータプレーン操作であるかを識別する IsDataPlane プロパティの追加が含まれます。本機能は追加料金なしで利用可能です。

🛠️ IAMポリシー管理の自動化に向けた大きな一歩

これまで、IAMポリシーのメンテナンスは、新しいサービスや新しい条件キーのキーの追加、あるいは「これはデータプレーン操作か？」という判断をエンジニアが手動で行う必要があり、非常に手間がかかる作業でした。今回の拡張により、これらの情報がマシン読み取り可能な形式で一元化されたことで、、ポリシー管理ツールの開発や、ガードレール設定の設計が格段に容易になります。

📍 日本国内の利用状況

本機能はIAMに関するグローバルな仕様変更であり、特定のリージョンに依存するリソースではありません。そのため、東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）を含むすべてのリージョンで利用可能であると判断されます。

💡 運用上のアドバイス

• セキュリティの精度向上: IsDataPlane プロパティを活用することで、データプレーン操作（例：S3のGetObject）のみを許可するポリシーを厳格に管理し、管理プレーン操作（注：管理プレーン操作は管理プレーン操作です）を誤って許可してしまうリスクを管理しやすくなります。
• コスト: 本機能の利用に追加料金はかかりません。既存のポリシー管理ツールやCI/CDパイプラインに、この情報を自動的に取得して組み込むことを検討しましょう。
• 自動化のメリット: 手動での更新作業を排除し、「最新のサービスアップデートに合わせてポリシーを同期する」という運用負荷を継続的に削減できます。

🚀 次のアクション

まずは、AWS公式の「programmatic service reference information」ドキュメントを確認し、提供されているJSONファイルの内容を解析して、自社の社内ツールやポリシー生成スクリプトにどのように組み込めるか、試作（PoC）を検討することをお勧めします。

参照ドキュメント: programmatic service reference information