# AWS Trusted Advisorによる未使用IAMユーザーの自動検出と削除

## 1. 概要

AWS Trusted Advisorは、AWSリソースの最適化、安全性、耐障害性、サービス制限、コスト削減の面でのベストプラクティスに関するアドバイスを提供するサービスです。本記事では、AWS Trusted Advisorを活用して未使用のIAMユーザーを自動検出し、削除する方法を紹介します。これにより、セキュリティを強化し、不要なリソースを整理することでコストを削減できます。

## 2. 目次

1. 概要
2. 未使用IAMユーザーの検出
   1. Trusted Advisorのセットアップ
   2. IAMユーザーの活動ログ取得
3. IAMユーザーの削除
   1. 自動化のためのスクリプト
   2. 安全な削除のための注意事項
4. 実行手順
5. まとめ

## 3. 未使用IAMユーザーの検出

### 3-1 Trusted Advisorのセットアップ

AWS Trusted Advisorは、AWS Management Consoleを通じて利用可能です。まず、AWS Management Consoleにログインし、[Trusted Advisor](https://aws.amazon.com/jp/premiumsupport/trustedadvisor/)のダッシュボードにアクセスします。

- **サインアップと設定**:
  - AWSサポートプランに応じて、利用可能なチェック項目が異なります。BusinessまたはEnterpriseサポートプランに加入している必要があります。

- **コンソールからのナビゲーション**:
  - ダッシュボード上で「セキュリティ」カテゴリを選択し、「IAMの削除可能なアクセスキー」を確認します。

### 3-2 IAMユーザーの活動ログ取得

AWSでは、CloudTrailを使用してIAMユーザーのアクションを追跡できます。CloudTrailのログを解析することで、一定期間使用されていないIAMユーザーを特定します。

- **CloudTrailログの確認**:
  - CloudTrailのコンソールで、監査ログを設定し、特定の期間に行われたすべてのIAMアクションを取得します。
 
- **ログ解析**:
  - ログデータをAmazon Athenaを用いて分析し、特定の期間における未使用のユーザーを絞り込みます。

## 4. IAMユーザーの削除

### 4-1 自動化のためのスクリプト

AWS SDK for Python (Boto3) を使用して、未使用のIAMユーザーを自動的に削除するスクリプトを作成します。以下はその一例です。

```python
import boto3

def get_unused_users(cloudtrail_logs):
    # ログ解析ロジックに基づいて未使用ユーザーを特定
    unused_users = []
    # ... 省略 ...
    return unused_users

def delete_iam_users(users):
    iam = boto3.client('iam')
    for user in users:
        try:
            # ユーザーの削除
            iam.delete_user(UserName=user)
            print(f"Deleted user: {user}")
        except Exception as e:
            print(f"Error deleting user {user}: {e}")

# CloudTrailログを取得し、解析
logs = get_cloudtrail_logs('2025-02-01', '2025-02-28')
unused_users = get_unused_users(logs)
# 未使用ユーザーの削除
delete_iam_users(unused_users)
```

### 4-2 安全な削除のための注意事項

- **バックアップの作成**:
  - ユーザー削除前に、必要なアクセスログやサービス制御ポリシーをバックアップします。

- **ポリシーチェック**:
  - 削除する前に、利用可能なAWSリソースへのアクセスや付与されているポリシーを慎重に確認してください。必要に応じて代替ユーザーやアクセスキーを設定することも重要です。

## 5. 実行手順

- **手順概要**:
  1. CloudTrailを利用して過去の活動をログとして取得。
  2. Trusted Advisorを利用して未使用IAMユーザーの推測。
  3. スクリプトを使って自動的に不要ユーザーを削除。

- **IAMポリシーの更新**:
  - ユーザー削除後、関連付けられたIAMポリシーを見直し、不要なポリシーが残っていないか確認します。

## 6. まとめ

AWS Trusted Advisorは、IAMユーザーの未使用リソースを検出するための強力なツールです。未使用ユーザーの削除はセキュリティ対策として非常に重要であり、定期的に見直しを行うことが推奨されます。自動化スクリプトを用いることで、手作業によるミスの削減や効率的な管理が可能となります。これにより、運用効率が向上し、AWSリソースの最適化が実現されます。 [cv:issue_marketplace_engineer]

AWS Trusted Advisorによる未使用IAMユーザーの自動検出と削除

1. 概要

続きを読むには単価診断を受けてください（30秒）