IAM ユーザーの作成 (コンソール)IAM ユーザーの作成 (AWS CLI)IAM ユーザーの作成 (AWS API)

AWS アカウントでの IAM ユーザーの作成

AWS アカウントには 1 つ以上の IAM ユーザーを作成できます。新しいメンバーがチームに参加したり、AWS への API コールを必要とする新しいアプリケーションを作成したりする場合は、IAM ユーザーを作成できます。

重要

ウェブサイトで Amazon 製品を販売するための Product Advertising API に関する情報を探していてこのページを見つけた場合は、「Product Advertising API 5.0 ドキュメント」を参照してください。

このページに IAM コンソールから到達した場合は、サインイン済みであっても、アカウントに IAM ユーザーが含まれていない可能性があります。AWS アカウントのルートユーザー、ロール、一時的な認証情報のいずれかを使用してサインインします。これらの IAM 認証情報については、「IAM ID (ユーザー、グループ、ロール)」を参照してください。

トピック

IAM ユーザーの作成 (コンソール)
IAM ユーザーの作成 (AWS CLI)
IAM ユーザーの作成 (AWS API)

ユーザーを作成して、このユーザーに作業タスクの実行を許可するステップは以下のとおりです。

AWS マネジメントコンソール、AWS CLI、Tools for Windows PowerShell、または AWS API オペレーションを使用してユーザーを作成します。AWS マネジメントコンソールでユーザーを作成する場合は、選択内容に基づいてステップ 1 ～ 4 が自動的に処理されます。ユーザーをプログラムにより作成した場合、各ステップを別個に実行する必要があります。
ユーザーに必要なアクセスのタイプに応じてユーザーの認証情報を作成します。
- プログラムによるアクセス: IAM ユーザーは、必要に応じて API コール、AWS CLI、Tools for Windows PowerShell のいずれかを使用します。この場合、該当ユーザーのアクセスキー (アクセスキー ID とシークレットアクセスキー) を作成します。
- AWS マネジメントコンソールアクセス: ユーザーが AWS マネジメントコンソールにアクセスする必要がある場合は、該当ユーザーのパスワードを作成します。
ベストプラクティスとして、ユーザーが必要とする認証情報のみを作成します。たとえば、AWS マネジメントコンソールを介したアクセスのみ必要なユーザーには、アクセスキーを作成しないでください。
ユーザーを 1 つ以上のグループに追加することで、必要なタスクを実行するアクセス権限を付与します。アクセス許可ポリシーをユーザーに直接アタッチして、アクセス許可を付与することもできます。ただし、ユーザーをグループに配置し、アクセス権限の管理は、グループにアタッチされているポリシーを通して行うことをお勧めします。アクセス許可の境界を使用してユーザーのアクセス許可を制限することもできます。ただし、これは一般的ではありません。
(オプション) タグをアタッチして、メタデータをユーザーに追加します。IAM におけるタグの使用の詳細については、「IAM ユーザーとロールのタグ付け」を参照してください。
必要なサインイン情報をユーザーに提供します。この情報には、ユーザーがアカウントのサインインページで認証情報として入力するパスワードやコンソールの URL が含まれます。詳細については、「IAM ユーザーが AWS にサインインする方法」を参照してください。
(オプション) ユーザーの多要素認証 (MFA) を設定します。MFA では、ユーザーが AWS マネジメントコンソールにサインインするたびに 1 回限り使用のコードを入力することが求められます。
(オプション) ユーザーに自分の認証情報を管理する権限を与えることができます。(デフォルト設定では、自身の認証情報を管理する権限は、ユーザーにはありません) 詳細については、「IAM ユーザーに自分のパスワードを変更する権限を付与する」を参照してください。

ユーザーの作成に必要なアクセス許可の詳細については、「IAM リソースにアクセスするのに必要なアクセス許可」を参照してください。

IAM ユーザーの作成 (コンソール)

IAM ユーザーは AWS マネジメントコンソールで作成できます。

1 つ以上の IAM ユーザーを作成するには (コンソール)

AWS マネジメントコンソールにサインインし、IAM コンソール（https://console.aws.amazon.com/iam/）を開きます。
ナビゲーションペインで [ユーザー]、[ユーザーを追加] の順に選択します。
新しいユーザーのユーザー名を入力します。これは、AWS のサインイン名です。複数のユーザーを同時に追加する場合、追加のユーザーごとに [別のリソースサーバーの追加] を選択し、それらのユーザーのユーザー名を入力します。同時に追加できるユーザーは、10 ユーザーまでです。

注記

AWS アカウントの IAM リソースの数とサイズは制限されています。詳細については、「IAM および STS クォータ」を参照してください。ユーザー名は、最大 64 文字の英数字、プラス記号 (+)、等号 (=)、カンマ (,)、ピリオド (.)、アットマーク (@)、アンダースコア (_)、ハイフン (-) を組み合わせて指定します。名前はアカウント内で一意である必要があります。大文字と小文字は区別されません。たとえば、TESTUSER というユーザーと testuser というユーザーを作成することはできません。
このユーザーセットに付与するアクセス許可の種類を選択します。プログラムによるアクセス、AWS マネジメントコンソールへのアクセス、またはその両方を選択できます。
- ユーザーに API、AWS CLI、または Tools for Windows PowerShell へのアクセスが必要な場合、[Programmatic access (プログラムによるアクセス)] を選択します。これにより、新しいユーザーごとにアクセスキーが作成されます。[Final (最終)] ページに到達すると、アクセスキーを表示またはダウンロードできます。
- ユーザーに AWS マネジメントコンソールへのアクセスが必要な場合は、[AWS マネジメントコンソールのアクセス] を選択します。これにより、新しいユーザーごとにパスワードが作成されます。
1. [Console password (コンソールのパスワード)] で、以下のいずれかを選択します。
  - [Autogenerated password (自動生成パスワード)]。現在アカウントパスワードポリシーがある場合、このポリシーと合致するパスワードがランダムに生成されて各ユーザーに付与されます。[Final (最終)] ページに到達すると、パスワードを表示またはダウンロードできます。
  - [Custom password]。ボックスに入力したパスワードが各ユーザーに割り当てられます。
2. (オプション) ユーザーに初回サインイン時にパスワードの変更を強制するため、[パスワードのリセットが必要] を選択することをお勧めします。
  
  注記
  
  アカウント全体に適用されるパスワードポリシー [ユーザーにパスワードの変更を許可] を有効にしていない場合、[Require password reset (パスワードのリセットが必要)] を選択すると、IAMUserChangePassword という名前の AWS 管理ポリシーが自動的に新しいユーザーにアタッチされ、自分のパスワードを変更するアクセス許可が付与されます。
[Next: Permissions (次へ: アクセス許可)] を選択します。
[アクセス許可の設定] ページで、一連の新しいユーザーにアクセス許可を割り当てる方法を指定します。以下の 3 つのオプションのいずれかを選択します。
- [ユーザーをグループに追加]。アクセス許可ポリシーがすでに付与されている 1 つ以上のグループにユーザーを割り当てる場合は、このオプションを選択します。IAM は、アカウント内のグループおよびアタッチされているポリシーを一覧表示します。1 つ以上の既存のグループを選択するか、[グループの作成] を選択して新しいグループを作成する必要があります。詳細については、「IAM ユーザーのアクセス権限の変更」を参照してください。
- [Copy permissions from existing user (既存ユーザーからアクセス許可をコピー)]。グループメンバーシップ、アタッチされている管理ポリシー、埋め込まれているインラインポリシー、および既存のアクセス許可の境界のすべてを既存のユーザーから新しいユーザーにコピーする場合は、このオプションを選択します。IAM は、アカウント内のユーザーを一覧表示します。アクセス権限が新しいユーザーのニーズに最も近いにユーザーを選択します。
- [Attach existing policies to user directly (既存のポリシーをユーザーに直接アタッチ)]。アカウント内の AWS 管理ポリシーとカスタマー管理ポリシーを一覧表示する場合は、このオプションを選択します。新しいユーザーにアタッチするポリシーを選択します。または、[ポリシーの作成] を選択して、新しいブラウザタブを開き、新しいポリシーをゼロから作成します。詳細については、「IAM ポリシーの作成 (コンソール)」のステップ 4 を参照してください。ポリシーを作成したら、そのタブを閉じて元のタブに戻り、新しいユーザーにポリシーを追加します。ベストプラクティスとして、代わりにポリシーをグループにアタッチし、ユーザーを適切なグループのメンバーにすることをお勧めします。
(オプション) アクセス許可の境界を設定します。これはアドバンスド機能です。

[Set permissions boundary (アクセス許可の境界の設定)] セクションを開き、[Use a permissions boundary to control the maximum user permissions (アクセス許可の境界を使用してユーザーのアクセス許可の上限を設定する)] を選択します。IAM は、アカウント内の AWS 管理ポリシーとカスタマー管理ポリシーを一覧表示します。アクセス許可の境界として使用するポリシーを選択するか、[ポリシーの作成] を選択して新しいブラウザタブを開き、新しいポリシーをゼロから作成します。詳細については、「IAM ポリシーの作成 (コンソール)」のステップ 4 を参照してください。ポリシーを作成したら、そのタブを閉じて元のタブに戻り、アクセス許可の境界として使用するポリシーを選択します。
[次へ: タグ] を選択します。
(オプション) タグをキー - 値のペアとしてアタッチして、メタデータをユーザーに追加します。IAM におけるタグの使用の詳細については、「IAM ユーザーとロールのタグ付け」を参照してください。
[Next: Review (次へ: 確認)] を選択し、この時点までに行ったすべての選択を確認します。続行する準備ができたら、[Create user] を選択します。
ユーザーのアクセスキー (アクセスキー ID とシークレットアクセスキー) を表示するには、表示する各パスワードやアクセスキーの横にある [表示] をクリックします。アクセスキーを保存するには、[Download .csv] を選択し、安全な場所にファイルを保存します。

重要

シークレットアクセスキーを表示またはダウンロードできるのはこのときだけです。AWS API を使用する前に、ユーザーにこの情報を提供する必要があります。ユーザーの新しいアクセスキー ID とシークレットアクセスキーは、安全な場所に保存してください。このステップを行った後に、シークレットキーに再度アクセスすることはできません。
自身の認証情報を使用して各ユーザーに提供します。最後のページで、各ユーザーの横の [Send email (E メールの送信)] を選択できます。ローカルメールクライアントに下書きが表示され、カスタマイズして送信できます。メールのテンプレートは、各ユーザーの以下の詳細が含まれています。
- ユーザー名
- アカウントのサインインページへの URL。次の例を使用して、適切なアカウント ID またはアカウントエイリアスと置き換えます。
```
https://AWS-account-ID or alias.signin.aws.amazon.com/console
```
詳細については、「IAM ユーザーが AWS にサインインする方法」を参照してください。

重要

ユーザーのパスワードは、生成されたメールには記載されていません。組織のセキュリティガイドラインに従った方法でお客様に伝える必要があります。

IAM ユーザーの作成 (AWS CLI)

IAM ユーザーは AWS CLI で作成できます。

IAM ユーザーを作成するには (AWS CLI)

ユーザーを作成します。
- aws iam create-user
(オプション) ユーザーに AWS マネジメントコンソールへのアクセス権を付与します。これにはパスワードが必要です。また、アカウントのサインインページの URL をユーザーに提供する必要があります。
- aws iam create-login-profile
(オプション) ユーザーにプログラムによりアクセス権を付与します。これにはアクセスキーが必要です。
- aws iam create-access-key
- Tools for Windows PowerShell: New-IAMAccessKey
- IAM API: CreateAccessKey
  
  重要
  
  シークレットアクセスキーを表示またはダウンロードできるのはこのときだけです。AWS API を使用する前に、ユーザーにこの情報を提供する必要があります。ユーザーの新しいアクセスキー ID とシークレットアクセスキーは、安全な場所に保存してください。このステップを行った後に、シークレットキーに再度アクセスすることはできません。
ユーザーを 1 つまたは複数のグループに追加します。指定したグループには、ユーザーに対して適切なアクセス権限を付与するポリシーがアタッチされている必要があります。
- aws iam add-user-to-group
(オプション) ユーザーのアクセス権限を定義するポリシーをユーザーにアタッチします。注意: ユーザーのアクセス許可の管理は、ユーザーをグループに追加してグループにポリシーをアタッチすることで (ユーザーに直接アタッチするのではなく) 行うことをお勧めします。
- aws iam attach-user-policy
(オプション) タグをアタッチして、カスタム属性をユーザーに追加します。詳細については、「IAM エンティティのタグの管理 (AWS CLI または AWS API)」を参照してください。
(オプション) ユーザーに自身のセキュリティ認証情報を管理する権限を与えることができます。詳細については、「AWS: MFA で認証された IAM ユーザーがセキュリティ認証情報ページで自分の認証情報を管理できるようにする」を参照してください。

IAM ユーザーの作成 (AWS API)

IAM ユーザーは AWS API で作成できます。

IAM ユーザーを作成するには (AWS API)

ユーザーを作成します。
- CreateUser
(オプション) ユーザーに AWS マネジメントコンソールへのアクセス権を付与します。これにはパスワードが必要です。また、アカウントのサインインページの URL をユーザーに提供する必要があります。
- CreateLoginProfile
(オプション) ユーザーにプログラムによりアクセス権を付与します。これにはアクセスキーが必要です。
- CreateAccessKey
  
  重要
  
  シークレットアクセスキーを表示またはダウンロードできるのはこのときだけです。AWS API を使用する前に、ユーザーにこの情報を提供する必要があります。ユーザーの新しいアクセスキー ID とシークレットアクセスキーは、安全な場所に保存してください。このステップを行った後に、シークレットキーに再度アクセスすることはできません。
ユーザーを 1 つまたは複数のグループに追加します。指定したグループには、ユーザーに対して適切なアクセス権限を付与するポリシーがアタッチされている必要があります。
- AddUserToGroup
(オプション) ユーザーのアクセス権限を定義するポリシーをユーザーにアタッチします。注意: ユーザーのアクセス許可の管理は、ユーザーをグループに追加してグループにポリシーをアタッチすることで (ユーザーに直接アタッチするのではなく) 行うことをお勧めします。
- AttachUserPolicy
(オプション) タグをアタッチして、カスタム属性をユーザーに追加します。詳細については、「IAM エンティティのタグの管理 (AWS CLI または AWS API)」を参照してください。
(オプション) ユーザーに自身のセキュリティ認証情報を管理する権限を与えることができます。詳細については、「AWS: MFA で認証された IAM ユーザーがセキュリティ認証情報ページで自分の認証情報を管理できるようにする」を参照してください。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

ユーザー

コンソールへのユーザーアクセスのコントロール