【緊急】IAMの「とりあえず」権限、もう放置禁止！AWS Security Hubが未使用アクセスのリスクを暴き出す！

AWS Security Hubが、組織全体のIAM権限、ロール、および認証情報の未使用状態を検出し、アイデンティティリスクを可視化する新機能をリリースしました。Security Hub Essentialsに含まれており、追加費用なしで利用可能です。過去90日間のアクセスアクティビティを分析し、未使用の権限と実際のリソース露出リスクを紐づけて提示します。また、実際の利用パターンに基づく最小権限ポリシーの生成機能も備えています。

🛡️ 「権限の肥大化」という、全エンジニア共通の恐怖に終止符を！

「とりあえず AdministratorAccess を付与しちゃった」「使っていないロールが大量にあるけど消すのが怖い」…そんな運用、Security Hub が一気に解決してくれます。

🚀 何がそんなに凄いのか？

これまでの IAM Access Analyzer だけでは、「どの権限が使われていないか」は分かっても、「それがどれほどのリスク（露出）に直結しているか」を横断的に判断するのが難しかったですよね。今回のアップデートでは、Security Hub の一元管理コンソール上で、未使用権限とリソースの露出状況をコンテキスト付きで可視化できるようになります。これはまさに「実効性のあるセキュリティ運用」への大きな一歩です。

🇯🇵 日本国内の利用状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) で利用可能であることが検証済みです。国内のエンジニアもすぐに本番環境の適用を検討できます。

💡 現場での実践アドバイス

• コスト面のメリット: Security Hub Essentials の範囲内なので、追加費用なしで始められるのが非常に強力です。まずは主要なアカウントから試してみる価値があります。
• 運用の落とし穴: 分析は CloudTrail に依存するため、ログが適切に記録されていることが前提です。また、**「四半期に一度のバッチ処理」**などは、90日の期間内では「未使用」と誤判定される可能性があるため、タグ付けや除外設定による管理が必要です。
• 推奨アクション: 生成された推奨ポリシーをいきなり本番に適用するのはNG。必ずステージング環境でテストし、段階的に適用するフローを確立しましょう。

🛠️ 次の一手

まずは、現在の組織で Security Hub を有効化し、ダッシュボードにどのような「未使用のアイデンティティリスク」が表示されるかを確認してみることから始めましょう。

参照元: AWS Security Hub ユーザーガイド https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub-v2.html