AWS マルチアカウント運用 (dev / prod) と IAM 初期設定

設計書ができたら、まず AWS アカウントの構造を決める必要があります。本記事では dev / prod の 2 アカウント分離 と、Terraform を回す前提となる IAM ユーザの初期設定 について書きます。

なぜマルチアカウントなのか

個人開発でも、AWS を 2 アカウント以上に分けるメリットは大きいです:

• 事故の隔離: dev で terraform destroy を打ち間違えても prod は無傷
• コストの可視化: 「実験で月 1,000 円、本番で月 200 円」のように分かれて見える
• 権限の物理分離: dev のアクセスキーが流出しても prod は影響受けない
• 採用評価: 「アカウント分離してます」と言えるだけで「分かってる人」判定される

個人で 1 アカウントで全部やってる人が多いので、ここで差が付きます。

本シリーズで使うアカウント構成

本シリーズの本番リソースは すべて aws-prod に置き、dev には触れない方針にしました。

AWS アカウントの初期セキュリティ設定

新規 AWS アカウントを作ったら、最初に必ずやることが 4 つあります:

1. ルートユーザーに MFA: Authenticator アプリで 2 段階認証を設定
2. 請求情報の表示権限を IAM ユーザーに付与: Billing Console を見られるようにする
3. AWS Budgets で月額予算アラート: 想定外コスト発生の早期検知
4. CloudTrail を有効化: 操作ログを残す（無料枠あり）

これらをやらないままアクセスキーが流出すると、暗号通貨マイニング等で 1 晩で 100 万円超え の請求が来る事故が定期的に話題になります。

IAM ユーザーの作成

AWS の操作は ルートユーザーで直接やらない のが原則です。代わりに IAM ユーザーを作って、そちらで操作します。

本シリーズでは、各アカウントに 1 つずつ IAM ユーザーを作りました:

IAM ユーザー作成画面で迷うポイント

AWS コンソールの IAM ユーザー作成画面で、初心者が必ず迷うのが「ユースケース」のところです。本シリーズでは:

コンソールアクセスを OFF にする理由は、「人間用とプログラム用は分ける」 が原則だからです。コンソールに入るときはルート + MFA か、別途コンソール専用ユーザーを作る方が安全。

アクセスキーの危険性

IAM ユーザーのアクセスキー（Access Key ID + Secret）は、「永続的な権限の持ち運び可能なコピー」 です。これが最も漏洩リスクが高い:

• GitHub に誤コミット → 数分で発見されてアカウント乗っ取り
• 不要になったあと放置 → 古いキーが流出して悪用される
• 共有 PC に保存 → 退職後も使い続けられる

本シリーズでは 「アクセスキーを使うのは bootstrap の初回だけ」 と決めました。Terraform 構築後は GitHub Actions OIDC に移行し、アクセスキーをほぼゼロに近づけます（記事 #12 で扱います）。

ローカルでの認証設定

アクセスキーが取れたら、aws configure --profile でローカルにプロファイルを設定します:

# prod 用プロファイル
aws configure --profile aws-prod

# 聞かれる項目
AWS Access Key ID [None]:     AKIA...（コピペ）
AWS Secret Access Key [None]: ...（コピペ）
Default region name [None]:   ap-northeast-1
Default output format [None]: json

# dev 用も同じ要領で
aws configure --profile aws-dev

これで ~/.aws/credentials と ~/.aws/config に保存されます。Windows なら C:\Users\<ユーザー>\.aws\ 配下です。

使い分けるときの落とし穴

AWS CLI でプロファイルを切り替えるときは、必ず確認してから操作します:

# ① 切替
export AWS_PROFILE=aws-prod
# Windows PowerShell なら: $env:AWS_PROFILE = 'aws-prod'

# ② 確認 (これを必ずやる)
aws sts get-caller-identity

# 期待される出力
{
  "UserId": "AIDA...",
  "Account": "XXXXXXXXXXXX",
  "Arn": "arn:aws:iam::XXXXXXXXXXXX:user/admin-prod"
}

# ③ 確認後に操作
aws s3 ls

2 アカウント運用での共通ファイル

2 つの AWS アカウントを切り替える前提なので、ローカルの設定ファイルは次のようになります:

# ~/.aws/credentials
[aws-dev]
aws_access_key_id = AKIA-DEV-XXXXX
aws_secret_access_key = ...

[aws-prod]
aws_access_key_id = AKIA-PROD-XXXXX
aws_secret_access_key = ...

# ~/.aws/config
[profile aws-dev]
region = ap-northeast-1
output = json

[profile aws-prod]
region = ap-northeast-1
output = json

この時点で default プロファイル は意図的に作りません。「明示しないと操作できない」状態にすることで、誤操作を構造的に防ぎます。

請求アラートの初期設定

IAM ユーザー作成と並行して、必ず Budgets アラートを入れておきます。本シリーズでは Terraform で後から作りますが、初期検証中は手動で設定するのも有効です。

個人ポートフォリオなら $10 / 月で十分。それを超えたらメール通知が飛ぶように設定しておくと安心です。

次の記事

AWS アカウントの準備ができたら、次はローカル開発環境を整えます。次の記事では PowerShell / Git Bash / AWS CLI / Terraform / gh CLI のセットアップについて書きます。Windows 環境固有のハマりどころも紹介します。