EC2とRDSを接続する際のIAMロールについて

Question

すごく初歩的な質問で申し訳ないのですが、
パブリックサブネットに含まれるec2インスタンスとプライベートサブネットに含まれるRDBを接続する際にIAMロールが必要ない理由がよくわかりません。

今のところ、サブネットが違うリソースに接続しているという点で、ACLやセキュリティグループがほぼ同じような役割を果たしてくれるのでいらないのかなぁと考えていますがこの認識はあっていますか？。

教えていただけると幸いです。
よろしくお願いいたします。

Answer 1

まず、IAMが何を扱うためのサービスなのかを理解する必要があります。
IAM とは

IAMとはAWSのAPIに対しての権限を制御するためのサービスです。
RDSについてはあくまでデータベースサーバとして振る舞います。
なので、ネットワーク的に接続が可能でかつRDS内のデータベースの認証を通過する方法があれば接続でき、IAMは特に関係ありません。
EC2インスタンスにSSH接続するのにIAMが関係ないのと同じようなものです。

ちなみに、そういった前提がありながらそれはそれとしてIAMを使用してRDSへの接続をする方法をAWSが提供してくれています。
IAM認証によるRDS接続を試してみた
ただこれは結局RDS内のデータベースに予めユーザを作成しておき、そのユーザに対して一時的なパスワードを発行することでデータベースに接続させる方法を提供しているだけで、ネットワーク的に接続できないところから接続できないことに変わりはありません。

Comments

[yayayayayaya]

IAMとはAWSのAPIに対しての権限を制御するためのサービスです。
RDSについてはあくまでデータベースサーバとして振る舞います。

この2文でめちゃめちゃ腑に落ちたのでこちらをベストアンサーとさせていただきます。
回答していただきありがとうございました。

Answer 2

IAMロールが必要ない理由がよくわかりません。

データベースサーバが独自にアクセス制御を行いますので、「サーバの位置」と「ID・パスワード」がわかれば接続が可能です。

サブネットが違うリソースに接続しているという点で、ACLやセキュリティグループがほぼ同じような役割を果たしてくれるのでいらないのかなぁと考えていますがこの認識はあっていますか？。

無関係です。IAMロールがあろうがなかろうが、「ACLやセキュリティグループ」などを正しく設定しなければ通信自体ができません。