変更要約: in-scope サービス網羅: 第5章にセキュリティ/アイデンティティの補足 in-scope サービス節を追加（IAM Identity Center/Cognito/Directory Service/Certificate Manager/CloudHSM/Firewall Manager/Detective/Audit Manager）
5.1責任共有モデルと IAM
AWS の責任共有モデル（AWS は「クラウドの」セキュリティ、利用者は「クラウド内の」セキュリティ）と、IAM のユーザー・グループ・ロール・ポリシー、最小権限、ルートユーザー保護を理解します。
クラウドのセキュリティは AWS と利用者の分担です。何を AWS が守り、何を自分が守るのかを理解することが、安全な利用の出発点。覚え方はシンプルで、AWS＝「クラウドの（of）」、利用者＝「クラウド内の（in）」セキュリティ。そのうえで、利用者側の責任の中心になる IAM で「誰が・何を・できるか」を最小権限で管理します。
5.1.1責任共有モデル
- AWS＝「クラウドのセキュリティ（security of the cloud）」：物理・ハードウェア、リージョン/AZ/エッジ、マネージドサービスの基盤を守る。
- 利用者＝「クラウド内のセキュリティ（security in the cloud）」：データ、IAM 設定、OS/ネットワーク/ファイアウォール設定、暗号化、アプリのセキュリティを守る。
- 境界はサービス種別で動く（例：EC2 は OS まで利用者、S3 や Lambda は利用者の責任が小さい）。
| 項目 | 担当 |
|---|---|
| 物理データセンター・ハードウェア | AWS |
| リージョン/AZ/エッジ・基盤NW | AWS |
| データ（内容・暗号化） | 利用者 |
| IAM 設定・アクセス管理 | 利用者 |
| ゲスト OS/ネットワーク/FW 設定 | 利用者（IaaS時） |
5.1.2IAM（Identity and Access Management）
- ユーザー：人やアプリの ID。グループ：ユーザーをまとめて権限を付与する単位（個人ではなくグループに付与するのが定石）。
- ロール：一時的に権限を引き受ける仕組み。EC2 など AWS サービスや、フェデレーション/クロスアカウントのアクセスに使う（アクセスキー不要）。
- ポリシー：許可/拒否を JSON で定義し、ユーザー/グループ/ロールに割り当てる。最小権限の原則（必要最小限だけ許可）に従う。
認証を強くするには MFA を有効化します。大規模に多数アカウント/ユーザーを束ねるなら IAM Identity Center（旧 SSO）で一元的にアクセスを管理します。鍵となる考え方は「長期のアクセスキーを配り歩くのではなく、必要なときだけロールで一時権限を渡す」ことです。
ルートユーザーは全権限を持つため、MFA を有効化し日常作業では使わず、IAM ユーザー/ロールを使います。アクセスキーの共有やコードへのハードコードは禁止です。
シナリオ：チームの権限設計。 開発者は「Developers」グループに入れ、必要な権限のポリシーをグループに付与（個人ではなく）。EC2 上のアプリが S3 を読むときはロールで一時権限を渡す（キーを埋め込まない）。ルートユーザーは初期設定後はMFAでロックし日常は使わない。全員 MFA 必須。
混同に注意：
①ユーザー（恒久ID）とロール（一時的に引き受ける権限）——サービスや一時アクセスはロール。
②権限はグループ/ロールのポリシーで与える（個人に直付けは管理が煩雑）。
③ルートユーザーは常用しない。
④責任共有：「データ・IAM設定は常に利用者」。
AWS＝of the cloud／利用者＝in the cloud、IAM の users/groups/roles/policies、最小権限、ルートユーザー保護（MFA・日常使用しない）、ロール＝一時権限（キー不要） は頻出です。
5.1.3この節のまとめ
- 責任共有：AWS＝クラウドの／利用者＝クラウド内のセキュリティ（データ・IAM設定は常に利用者）
- IAM＝users/groups/roles/policies で最小権限。ロール＝一時権限（キー不要）
- ルートユーザーは MFA で保護し日常は使わない。MFA は全員に
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 責任共有モデルで、一般に AWS が責任を負うのはどれですか？
Q2. EC2 インスタンスや AWS サービスに一時的な権限を与えるのに最も適した IAM の仕組みはどれですか？
Q3. 「最小権限の原則」に沿った運用はどれですか？
Q4. ルートユーザーの扱いとして推奨されるのはどれですか？
Q5. 複数ユーザーへ同じ権限をまとめて付与するのに最も適した IAM の仕組みはどれですか？