AWS IAM ロールあたりの管理ポリシー既定クォータが10から20に引き上げ

AWS Identity and Access Management (IAM) において、IAMロールにアタッチ可能な管理ポリシーの既定クォータが10から20に引き上げられました。

この変更は、AWSのベストプラクティスに従い権限を目的別に分離したポリシーを作成する際や、AWSパートナー製品の導入時に必要となる追加の管理ポリシーをアタッチする際に、Service Quotasへの申請回数を削減します。

20を超える管理ポリシーが必要な場合は、Service Quotasを利用して最大25までのクォータ引き上げを申請可能です。

この変更はすべての商用AWSリージョン、AWS GovCloud (US)、および中国リージョンで自動的に適用され、ユーザー側での操作は不要です。

エンジニア視点での考察・アドバイス

解決された課題

• ポリシー分離のベストプラクティス実践が容易に: 従来は10ポリシーの制限により、細かく権限を分割したポリシー設計が難しかったが、20ポリシーまで拡張されたことで、よりセキュアで管理しやすいIAM設計が可能になります。
• AWSパートナー製品の導入障壁低減: パートナー製品（例：SageMaker Role Manager）が要求する複数の管理ポリシーをアタッチする際に、クォータ引き上げ申請が不要になるケースが増え、導入プロセスがスムーズになります。

日本リージョンへの影響（東京・大阪）

• **東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）**は「すべての商用AWSリージョン」に含まれるため、自動的に本変更が適用されています。
• 特別な設定や申請は不要で、既存のIAMロールにも即時反映されます。

運用上の注意点

• ポリシーの種類に注意: このクォータは**管理ポリシー（AWS管理ポリシー + カスタマー管理ポリシー）**にのみ適用されます。インラインポリシーは対象外です。
• クォータ引き上げの検討: 20ポリシーを超える場合は、Service Quotasで最大25まで引き上げ可能ですが、ポリシーの肥大化は管理コストを増加させるため、必要最小限のポリシー設計を心がけましょう。
• セキュリティリスクの低減: ポリシー数が増えても、過剰な権限付与を避けるためにIAM Access AnalyzerやPolicy Simulatorを活用し、定期的に権限の棚卸しを行うことを推奨します。

次のアクション

1. 既存ロールの確認: aws iam list-attached-role-policies --role-name <ロール名> でアタッチ済みポリシー数を確認し、20を超えるロールがないかチェック。
2. クォータ引き上げの必要性評価: 20ポリシーを超えるロールがある場合は、Service Quotasで引き上げ申請を検討。
3. ポリシーの最適化: インラインポリシーへの移行や、ポリシーの統合を検討し、管理コストを削減。

参考ドキュメント

• IAM and AWS STS quotas（AWS公式ドキュメント）
• Service Quotasによるクォータ引き上げ手順