令和の今、あらためて IAM を考える。アクセスキーを「無くせない現実」との向き合い方

kazzpapa3(ICHINO Kazuaki)

「アクセスキーは使うな」は繰り返し言われるベストプラクティスです。 私自身テクニカルサポートエンジニアとして流出事故に何件も対応し、JAWS DAYS 2026 や AWS Summit Japan 2026 で攻撃者と防御側の間にある時間と労力の非対称性を伝えてきました。 また Kiro と壁打ちしながら模擬攻撃を受けたアカウントを用意し、調査してフラッグを回収する CTF ゲームを自作し啓蒙にも取り組んできました。 しかし現実として、レガシー連携や CI/CD、サードパーティ製品の制約でアクセスキーを今すぐゼロにできない組織は数多くあります。 AWS Summit Japan 2026 のチョークトークでも聞こえた「わかっちゃいるが無くせない」現実です。 本セッションでは理想論で終わらせず、令和の今だからこそ IAM を改めて考え直します。 ・攻撃事例のダイジェスト ・無くせない場合のリスク最小化と段階的な移行戦略 ・AI エージェント時代の「誰として API を叩くのか」という新たな問い 「無くせ」で片付けられない現場の方に、次の一手を考えるきっかけを届けます。