AWS 設計の定石メモ: 人は Identity Center・システムは IAM ロール／VPC エンドポイント／Route 53 Resolver
AWS 本の著者 @dkfj が繰り返し発信している設計の定石を 4 つまとめたもの。どれも「迷ったらこう分ける」という判断基準として使える。
1. 人のサインインは IAM Identity Center、システムの権限は IAM ロール
- 組織で AWS を使うと、アカウントごとに IAM ユーザーを作る運用はいずれ破綻する（アカウントをまたぐ権限設計、管理者権限をどこまで委任するか）。
- 分担: 人 → IAM Identity Center、システム（アプリ・CI など）→ 従来の IAM ロール。
- 出典: @dkfj · 2026-10-09
2. 「IAM を編集できる権限」は実質 Administrator
- 自分で自分の許可を書き換えられるので、IAM の編集権限を渡すことは管理者権限を渡すのと同じ。権限委譲のレビューで見落としやすい。
- 出典: @dkfj · 2026-10-08
3. VPC エンドポイント（Interface）でプライベート通信
- 他の VPC や AWS サービスへ、インターネットを通さずに接続できる。SaaS を提供する側（マルチテナント）にも、機密データを VPC の外に出したくない利用側にも使える。
- VPC ピアリングと違い、CIDR の重複を気にしなくてよい。
- 出典: @dkfj · 2026-10-06
4. オンプレとの DNS 相互解決は Route 53 Resolver の Inbound/Outbound エンドポイント
- ハイブリッド構成の定番。オンプレ → AWS の名前解決は Inbound、AWS → オンプレは Outbound エンドポイント。
- 設計のカギは 条件付き転送ルール（どのドメインをどちらへ転送するか）。
- 出典: @dkfj · 2026-10-08
関連
関連
- AI エージェントにクレデンシャルを渡す 4 段階 AI エージェント時代のシークレット受け渡し: 4 段階の考え方と道具
- S3 は「ファイルストレージではなく分散 KVS」（Prefix と性能設計、整合性モデル、フォルダに見えるものの正体）を 1 時間で整理したスライドと動画: @dkfj · 2026-05-26
注意点
- 各項目は投稿の要約。細かい設定方法は AWS の公式ドキュメントで確認すること。