AWSアカウントのパスワードポリシー

渡辺修司

2015.08.31

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

IAMの機能を利用することで、AWSアカウントのパスワードポリシーを設定することができます。デフォルトのパスワードポリシーは非常に緩いので、簡単に推測できるパスワードへの変更を防止し、セキュリティを強化してください。

パスワードポリシーの設定

パスワードポリシーは、IAMメニューの「アカウント設定」から行います。パスワードポリシーから次の項目がチェックボックスで選択可能です。

パスワード長

「Minimum password length （パスワードの最小長）」のデフォルトは6となっていますので少し短めです。文字種にもよりますが、最低パスワード長は8にしておくと十分な最低長と言えるでしょう。

文字種

「Require at least one uppercase letter（少なくとも 1 つの大文字が必要）」「Require at least one lowercase letter （少なくとも 1 つの小文字が必要）」「Require at least one number（少なくとも 1 つの数字が必要）」「Require at least one non-alphanumeric character（少なくとも 1 つの英数字以外の文字が必要）」と４種類の設定がありますが、すべてのチェックを入れることをおすすめします。文字種が限定されている場合はそれだけ推測されやすくなるからです。

パスワードの更新

パスワードの更新に関するポリシーは、運用設計の中で負担がない範囲で決めると良いでしょう。煩雑すぎるポリシーは「面倒」と感じてしまい、返ってセキュリティを下げる可能性もあります。例えば、1週間毎にパスワードを変更することを強制されたら、パスワードを推測しやすいようにローテーションする人が現れるでしょう。

「Allow users to change their own password（ユーザーにパスワードの変更を許可）」をチェックするとユーザがパスワードを変更できるようになります。パスワード長や文字種をあわせて設定しておかなければ、「password」といったパスワードを設定されてしまう可能性があるので注意してください。

「Enable password expiration（パスワードの失効を許可）」をチェックすると、一定期間でパスワードの更新を強制することができます。ただし、あまり頻繁に更新を強制すると煩雑になりすぎるので半年や1年などを目安にすると良いかと思います。

「Prevent password reuse（パスワードの再利用を禁止）」は、パスワードのローテーションを防ぎます。しかし、末尾に123などを付けてしまえば回避できてしまいますので、重要なのはパスワード長と利用文字であることは間違いありません（有りがちなパスワードにadmin2015のように西暦をつけるものがあります・・・）。

MFAによる二段階認証の併用

パスワードは推測されない文字数・文字種を使うことが大前提です。しかし、長く使い続けると漏洩のリスクもあるため、一定期間での更新がパスワードポリシーに求められるケースが多いでしょう。一方、IAMユーザはMFA（2段階認証）に対応しているので、ワンタイムパスワードを併用することもお勧めです。MFAを設定している場合には、万が一パスワードが漏洩した場合でも管理コンソールにログインされることはありません。詳細はAWSアカウントのセキュリティを強化する〜 MFAの利用を確認ください。

なお、現時点では、MFAをパスワードポリシーとして強制することはできません。