c1.5 root アカウントを保護する

root の使用を避ける

root ユーザーは無制限のアクセスを持ち、IAM ポリシーで制約できないため、本当に必要なわずかなタスクにのみ使用します。それ以外はすべて、一元化された ID ソースからのフェデレーションによる最小権限アクセスを使います。root にアクセスキーを作成してはいけません。耐久性のある無制限の認証情報だからです。

メンバーアカウントの root を一元管理または削除する

AWS Organizations では root アクセスを一元管理できます。メンバーアカウントの root 認証情報を完全に削除し、まれに必要な特権的な root タスクは必要時に中央で実行します。これにより、保護すべき root ユーザーはアカウントごとではなく 1 つ(管理アカウント)だけになり、特権的な攻撃対象領域が大きく減ります。あるいは、AWS Control Tower や次のような SCP でメンバーアカウントの root アクションを拒否します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RestrictRootOnMemberAccounts",
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": { "StringLike": { "aws:PrincipalArn": ["arn:aws:iam::*:root"] } }
    }
  ]
}

残す root を保護する

管理アカウントの root は SCP の対象外なので、最も強力な保護が必要です。

• MFA を有効化(現在は必須)— ハードウェア/FIDO2 デバイスを優先し、2 人制御(1 人がパスワードを、もう 1 人が MFA デバイスを持つ)を検討します。
• root にアクセスキーを絶対に付与しない。
• すべての root サインインでアラートを出す(CloudTrail から SNS 通知へ)。root の使用はまれで意図的であるべきだからです。
• 復旧経路を保つため、アカウントのセキュリティ連絡先を最新に保つ。