---
title: 20251222_IAMPolicyAutopilot
tags: 
author: [はしもと](https://convert.docswell.com/user/s3kzk)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/G751WZQME4.jpg?width=480
description: 20251222_IAMPolicyAutopilot by はしもと
published: December 22, 25
canonical: https://convert.docswell.com/s/s3kzk/KVMR4P-20251222_IAMPolicyAutopilot
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/G751WZQME4.jpg)

IAM Policy Autopilot と
Agent-centric な権限管理
2025/12/22
AWS re:Invent 2025 re:Cap with KAG
1


# Page. 2

![Page Image](https://bcdn.docswell.com/page/9J21QRPR7R.jpg)

繧上▲縺励ｇ縺
a.k.a.
はしもと（If you evolve.）
@s3kzk
JAWS-UG 島根支部コアメンバー (25/11〜)
ʻ22~ AWS All Certs.
2


# Page. 3

![Page Image](https://bcdn.docswell.com/page/DEYZWD557M.jpg)

ラスベガスで無人タクシーではなく
車椅子に乗ってきた話は懇親会で
3


# Page. 4

![Page Image](https://bcdn.docswell.com/page/VJN396N4J8.jpg)

Agent-centric identity and
access management
（エージェント中心※のIDおよびアクセス管理）
※といいつつも、エージェントが組み込まれてるわけではなく、
AIエージェントの登場も踏まえた、ぐらいのものの理解
4


# Page. 5

![Page Image](https://bcdn.docswell.com/page/YE992LR4E3.jpg)

AWS re:Invent 2025 で発表された AI を活用したセキュリティイノベーション
https://aws.amazon.com/jp/blogs/news/aws-launches-ai-enhanced-security-innovations-at-reinvent-2025/
5


# Page. 6

![Page Image](https://bcdn.docswell.com/page/GE895XWV7D.jpg)

Agent-centric IAMとして紹介された機能
ポリシー生成を自動化し、ゼロトラストの成熟度レベルを向上
Login for AWS local
development
IAM Policy Autopilot
→ ポリシー生成の自動化
→ 人間がアクセスする場面で
長期鍵を排除
なんか君
良さそうやん
Outbound identity
federation
→ マシン/ボットがAWS外への
アクセスする場面で長期鍵を排除
Private access sign-in
→ コンソールアクセスを閉域化
利用アカウントを制限
https://aws.amazon.com/jp/blogs/news/aws-launches-ai-enhanced-security-innovations-at-reinvent-2025/
6


# Page. 7

![Page Image](https://bcdn.docswell.com/page/LELWY8NRJR.jpg)

https://github.com/awslabs/iam-policy-autopilot
7


# Page. 8

![Page Image](https://bcdn.docswell.com/page/4JM9N6XPEW.jpg)

名前から持ったイメージ
IAMなんでもわかるエージェントがコードを理解
↓
ベストプラクティスに沿った美しいポリシー定義が出力
↓
人とIAMポリシーとの長きに渡る争いの終結🤗
8


# Page. 9

![Page Image](https://bcdn.docswell.com/page/PJRGDPNYE9.jpg)

HOW TO INSTALL
CLIツール
MCPサーバー
(Kiro
{
① uv を使用（推奨）
uv/uvxの場合)
&quot;mcpServers&quot;: {
&quot;iam-policy-autopilot&quot;: {
&quot;command&quot;: &quot;uvx&quot;,
&quot;args&quot;: [&quot;iam-policy-autopilot&quot;, &quot;mcp-server&quot;],
&quot;env&quot;: {
&quot;AWS_PROFILE&quot;: &quot;your-profile-name&quot;,
&quot;AWS_REGION&quot;: &quot;us-east-1&quot;
},
&quot;disabled&quot;: false,
&quot;autoApprove&quot;: []
}
}
uvx iam-policy-autopilot で直接実行
② pip を使用
pip install iam-policy-autopilot でインストール
③ インストールスクリプトを利用
curl -sSL https://github.com/awslabs/
iam-policy-autopilot/raw/refs/heads/
main/install.sh | sudo sh を実行
}
https://github.com/awslabs/iam-policy-autopilot
9


# Page. 10

![Page Image](https://bcdn.docswell.com/page/PEXX13N4EX.jpg)

CLI版の基本的な使い方
対象とするSDK呼び出しの範囲
解析対象ファイル
{
&quot;Policies&quot;: [
{
&quot;Policy&quot;: {
&quot;Id&quot;: &quot;IamPolicyAutopilot&quot;,
&quot;Version&quot;: &quot;2012-10-17&quot;,
&quot;Statement&quot;: [
{ &quot;Effect&quot;: &quot;Allow&quot;,
&quot;Action&quot;: [&quot;sts:GetCallerIdentity&quot;],
&quot;Resource&quot;: [&quot;*&quot;] }
]
},
&quot;PolicyType&quot;: &quot;Identity&quot;
}
]
uvx iam-policy-autopilot generate-policies
./src/get_caller_identity.py --pretty
}
10


# Page. 11

![Page Image](https://bcdn.docswell.com/page/3EKW2YNPED.jpg)

ちゃんとコードから
IAMポリシーが作成できました
便利ツールが増えてよかったですね
めでたしめでたし🙌
11


# Page. 12

![Page Image](https://bcdn.docswell.com/page/L73149V4J5.jpg)

待った！
12


# Page. 13

![Page Image](https://bcdn.docswell.com/page/87DXQG85EG.jpg)

これならどうか
{
・Obj取得
・テーブル作成
※未作成時
・アイテム作成
・VPC作成
※未作成時
※呼び出しなし
&quot;Version&quot;: &quot;2012-10-17&quot;,
&quot;Statement&quot;: [
{
&quot;Effect&quot;: &quot;Allow&quot;,
&quot;Action&quot;: &quot;s3:GetObject&quot;,
“Resource”: “ &lt;操作対象のS3バケットのARN&gt;/*&quot;
},
{
&quot;Effect&quot;: &quot;Allow&quot;,
&quot;Action&quot;: [
&quot;dynamodb:DescribeTable&quot;,
&quot;dynamodb:CreateTable&quot;,
&quot;dynamodb:PutItem&quot;
],
“Resource”: ”&lt;操作対象のDynamoDBテーブルのARN&gt;&quot;
}
]
}
（最小はこのような感じ）
パッと見でも多い
＋
呼び出されない箇所も
解析対象となっている
😫
13


# Page. 14

![Page Image](https://bcdn.docswell.com/page/VJPPL38DJ8.jpg)

ツール利用でも同様
実行時に必要なアカウントID
とリージョンは指定済み
14


# Page. 15

![Page Image](https://bcdn.docswell.com/page/2EV2Q4NGEQ.jpg)

IAM Policy Autopilot
“決定論的なコード解析を用いて信頼性の高い有効なポリシーを作成”
① ローカルで
コードをスキャン
② 依存関係を含む
権限へマッピング
③ ベースライン
ポリシーを生成
AWS SDK 呼び出しを
マシン上で解析
使用するSDK呼び出しに対応する
IAMアクションに変換
構文的に正しい
IAMポリシーの
JSONを出力
エージェント（≒LLM）を呼び出しているわけではなく
ルールベースの変換
15


# Page. 16

![Page Image](https://bcdn.docswell.com/page/57GRW15DEL.jpg)

どのように使うか🤔
基本はMCP経由で、必要時に
ポリシー定義を固めていく際の
LLMのコンテキストとして利用
LLMにツールとして使わせる
（直接コマンドで呼ぶメリット？）
最小権限でなくていいから
利用可能なIAMポリシー定義が欲しい
Administrator/PowerUserAccessや
xxxFullAccessは回避可能
IAM Access Analyzerのポリシー生成機能は
CloudTrailログを使うため先に実行が必要
先にルールベースで作りそこから削らせる
存在しないAction名は出てこない、はず
LLMが生成したポリシーの修正
̀fix-access-denied̀で
権限不足系のエラーメッセージを渡すと
足りないポリシーを教えてくれる
これが必要かは…？
16


# Page. 17

![Page Image](https://bcdn.docswell.com/page/4EQV3DZXJP.jpg)

まとめ
17


# Page. 18

![Page Image](https://bcdn.docswell.com/page/KJ4M1Z32E1.jpg)

「検品」は人間の仕事、操縦桿から手を離すな！
生成されたポリシーはあくまでも “たたき台”
出力結果は不完全と理解したうえで、LLMなどのコンテキストに
最小権限の実現には、人間のレビューが引き続き求められる
18


# Page. 19

![Page Image](https://bcdn.docswell.com/page/LE18GR1K7G.jpg)

ありがとうございました！
19


