【現役エンジニアが語る】ユーザー管理におけるAWSとSalesforceの共通的な考え方３つ

yeda1343
4 日前
読了時間: 5分

はじめに

こんにちは、テラスカイ・テクノロジーズの山中です。

私はAWS（Amazon Web Services）とSalesforceの研修を受け、現在はお客様先にて両方のクラウドサービスでのユーザー管理を行っています。

この記事では、AWSとSalesforceの研修とお客様先での業務を経て、個人的に「これは似ているな！」と感じた共通点についてご紹介していきます。

AWSプロジェクトの人手が足りないという方に！AWSエンジニアを派遣します

サービスの特徴や弊社が選ばれる理由はこちら

→https://www.terrasky-tech.co.jp/services/aws

ユーザー管理：利用するのは「人」だからこそ

AWSもSalesforceも、サービスを利用するのは結局のところ「人」になります。

そのため、どちらのサービスもユーザーの管理機能が充実しています。

・個別のユーザーアカウントがある

どちらのサービスもまずはユーザーを登録し、ログイン情報（IDとパスワード）を設定します。これにより、だれがサービスにアクセスしているのか明確にできます。

・多要素認証（MFA）に対応している

パスワードだけでなく、スマートフォンアプリやハードウェアデバイスを利用した多要素認証に対応しており、不正アクセスからの保護を強化できます。

権限管理：誰に「何を」許可するか

AWSとSalesforceは、どちらも「最小権限の法則」に基づき、ユーザーが必要な操作だけ行えるようにするため、きめ細やかな権限管理機能を提供しています。

AWSの「IAMポリシー」とSalesforceの「権限セット / 権限セットグループ」はまさに同じ目的を持っています。

・AWS：IAMポリシー

IAMユーザーやIAMグループ、IAMロールに対してどのAWSサービスのリソースに、どのような操作（読み取り、書き込み、削除など）を許可するか定義します。

JSON形式で記述されており、自分でカスタマイズしたIAMポリシーを作成することも可能です。

・Salesforce：権限セット / 権限セットグループ

権限セットは、ユーザーがSalesforce内でどのオブジェクト（取引先、商談など）、どの項目、どの機能（レポート作成、データのエクスポートなど）にアクセスし、どのような操作を許可するかを定義します。

また、Salesforce機能の１つとして、権限セットグループがあります。

特徴は、複数の権限セットをひとつのまとまりとしてグループ化し、まとめてユーザーに割り当てられる機能です。

権限セットグループを利用すれば、個々の権限セットをユーザーに割り当てる手間を省き、効率的に複数の権限セットをユーザーに割り当てることができます。

これらの機能は、「この人には、この機能だけを利用していただく」というニーズに応えるため、両サービスにおける根幹的な仕組みとなっています。

グループによる権限の効率化：大勢を「まとめて」管理

個別のユーザーに一つ一つ権限を設定するのは非効率であり、またユーザーが増えるにつれ、作業量が多くなることによる人的ミスの可能性も高くなります。

そこで登場するのが、AWSでは「IAMグループ」、Salesforceでは「プロファイル」。どちらも、複数ユーザーの権限をまとめて管理する仕組みです。

・AWS：IAMグループ

複数のIAMユーザーをまとめて管理し、そのグループにIAMポリシーをアタッチすることで、グループに所属する全ユーザーに同じ権限を付与できます。「開発チーム」「運用チーム」といった形でメンバーをまとめる際に便利です。

また、IAMユーザーは複数のIAMグループに所属することができます。例えば、「開発チーム」と「運用チーム」の両方の権限を付与したい場合には、下記画像のIAMユーザー「DevOps_User_01」のように両方のIAMグループに所属させることで、両方のチームの権限をまとめてIAMユーザーにアタッチすることができます。

・Salesforce：プロファイル

ユーザーがシステム内での役割に基づいて、アクセスできるオブジェクト、項目、アプリケーションなどを定義します。ユーザーは必ず１つのプロファイルに属し、必要なオブジェクトの参照・編集権限、アプリケーションのアクセス権限が決められます。（１人のユーザーに対して複数のプロファイルを割り当てることはできません）

ただし、プロファイルは「基本的な役割」を定義するため、そのままだと柔軟性に欠けます。この柔軟性を補完するのが、前述で紹介した権限セット（権限セットグループ）です。プロファイルで定義された基本権限に加えて、特定のユーザーに必要な追加権限を、権限セットとして割り当てることで、より柔軟性のある権限を付与することができます。