aws iam attach-role-policy でロールにポリシーを付けよう

「作成したロールに、実際の権限を与えたい」というときに使うのがaws iam attach-role-policyです。指定したIAMロールに、指定したポリシーをアタッチ(関連付け)するコマンドです。

aws iam attach-role-policy --role-name ロール名 --policy-arn ポリシーのARNという書式で使います。ポリシーARNは、そのポリシーを一意に識別するAWS内の識別子です。

aws iam attach-role-policy --role-name my-role --policy-arn arn:aws:iam::aws:policy/ReadOnlyAccessを実行すると、「my-role」というロールに読み取り専用の権限が付与されます。

よくあるつまずきは、ポリシーARNのタイプミスや、存在しないロール名を指定してエラーになることです。事前にaws iam list-rolesでロール名を確認しておくと安心です。

実務ではLambda関数がS3にアクセスできるようにする、EC2インスタンスがログを書き込めるようにするなど、サービス間の権限設定でよく使われます。