AWSのサービス名前空間とは何か？概念と確認方法を徹底解説

1.AWSのサービス名前空間とは何か

1-1.名前空間とは何か

AWSサービス名前空間が何者かを考えるために、まずは名前空間（namespace）という概念について押さえておきましょう。

AWS用語集によると、以下のように定義されています。

簡単に考えると、以下のイメージとなります。

ここではいくつかの名前がそれぞれの名前空間に属しています。名前空間Aにも名前空間Bにも「ひよこ」という名前が存在しますが、両者は名前空間が異なるために別物である、という考え方をします。

少し例がイマイチなので別の例も見ておきます。Amazon CloudWatchではメトリクスが名前空間に所属します。

例えばEC2サービスのメトリクスやRDSサービスのメトリクスは、それぞれAWS/EC2、AWS/RDSという名前空間内に収集されます。

EC2でもRDSでも「CPUUtilization」という同一名称のメトリクスが存在しますが、両者は異なる名前空間に属するために別物として扱われる、という具合です。

1-2.AWSのサービス名前空間とは何か

名前空間そのものの概念が分かったところで、AWSのサービス名前空間について考えましょう。

AWSのサービス名前空間は、サービスプレフィックスによって分離され、リソースタイプ、アクション、条件キーを識別するために機能するコンテナです。

上に挙げた画像の例は、Amazon EC2、Amazon S3、Amazon RDSサービスの名前空間です。それぞれ、サービスプレフィックスとしてec2、s3、rdsが割り当てられています。

サービス名前空間内には、リソースタイプ、アクション、条件キーが項目として含まれます。それぞれの名前空間に属することで、あいまい性が解消されています。

リソースタイプ、アクション、条件キーは名前空間を排した項目名のみでもなるべく重複しないように設計されているように見受けますが、そこそこ重複するものがあります。

項目名が重複する一例

• リソースタイプ

  • 「cluster」Amazon RDS、Amazon EKS、Amazon ElastiCache
  • 「job」AWS Batch、AWS Glue、Amazon S3

• アクション

  • 「ListFunctions」AWS Lambda、AWS AppSync
  • 「CreateCluster」Amazon ECS、Amazon MemoryDB

• 条件キー

  • 「KmsKeyId」Amazon EC2、Amazon ElastiCache
  • 「Vpc」Amazon EC2、Amazon RDS

1-3.どんな時にAWSのサービス名前空間を意識する？

AWSのサービス名前空間、引いてはサービスプレフィックスを意識する機会はそこそこあります。

サービス名前空間、という概念を知らなくても、利用していた場面は多いのではないでしょうか。

1-4.AWSのサービス名前空間とAWSサービスは必ずしも一致しない

AWSのサービス名前空間によってあいまい性が排除され、システム的には良いのですが、人間の感覚だと違和感がある場面もあります。

たとえば「Amazon VPC」というサービスがあります。有名なのでご存知の方も多いでしょう。

Amazon VPCというサービスに属すると考えるのが自然な「VPC」「サブネット」「ルートテーブル」といったリソースは、サービス名前空間 ec2 に属します。もちろん、それらのリソースに関連するアクション、条件キーなども ec2 に属します。

人間が認識する異なるAWSサービスが、同一のサービス名前空間に属している、というケースがあります。また、人間が認識するAWSサービスとしては同一なものの、異なるサービス名前空間に属するというケースもあります。

サービス名前空間が分かれる一例

• バージョンによってサービス名前空間が分かれる

  • 例：inspectorとinspector2、wafとwafv2

• 対象リージョンによってサービス名前空間が分かれる

  • 例：wafとwaf-regional

• サービスの1機能のように見えるがサービス名前空間が分かれる

  • 例：ssm-guiconnect（SSMによるRDP接続）、mediaimport（RDSの一部機能で利用）

IAMポリシー設計をする際やAWS CLI、AWS SDKのプログラムアクセスをする際などは、きちんとサービス名前空間を意識するようにしましょう。

1-5.AWSのサービス名前空間の詳細はどこで確認できる？

サービス名前空間の詳細を確認するためには、以下のリファレンスを参照するとよいでしょう。

• サービス認証リファレンス

ここでは、サービスごとに「アクション」「リソースタイプ」「条件キー」が一覧でまとめられています。

上記の画像の例のAmazon EC2 Instance Connectはまだ少ない方で、サービスによってはアクションが数百にのぼるものがあります。

ここでの「サービス」は概ねサービス名前空間に応じて分割されており、たとえばAmazon VPCのリソースはAmazon EC2（サービスプレフィックス ec2）のページに記載されています。

ただ、名前空間は同一だけども別サービスとしてページが分かれている、というものもあります。（例：Amazon LexとAmazon Lex V2。どちらもサービスプレフィックス lex）注意して参照しましょう。

このリファレンスを日本語版で参照するとサービス名の一部が日本語化されて判別しづらいので、英語版を参照するのがおすすめです。

2.AWSのサービス名前空間の一覧を取得してみよう

ここまでAWSのサービス名前空間の基本的な考え方を確認しました。

全体としてどのような名前空間があるのか確認してみましょう。一覧がまとまった箇所があればいいのですが、これといったちょうどいいものがまとまった場所はありません。

今回は、完璧とは言えないまでも、AWS CLIを活用して取得できる範囲で一覧を確認してみます。

AWS CLIを、AWS CloudShell上で実行していきます。

2-1.AWSのサービス名前空間一覧の取得作業に必要な条件

以降の作業を実施するためには以下を必要とします。

• （必須）AWS マネジメントコンソールにサインインできる

• （必須）AWS マネジメントコンソールを操作するユーザーが必要な権限を持っている

  • AWS CloudShellの操作権限（AWSCloudShellFullAccessなど）
  • AWS IAMの参照権限（IAMReadOnlyAccessなど）
• （オプション）AWS CLI実行に関する基礎知識
• （オプション）Linux のコマンド実行に関する基礎知識

2-2.AWSのサービス名前空間の一覧取得で行うこと

ここでは、大きく分けて以下のAWS CLIコマンドを実行します。

• aws iam generate-service-last-accessed-details
• aws iam get-service-last-accessed-details

これは、IAMユーザーやロール、ポリシーを対象に、それぞれが「自身がアクセス可能なサービスについて、最後にいつアクセスを行ったか」の詳細を確認するためのものです。

今回は実際のアクセスの有無を確認することが目的ではなく、サービスの全量を抽出するために利用します。

AWS管理ポリシーの「AdministratorAccess」を対象に実行することで、IAMで操作可能なすべてのサービスが対象に含まれます。その一覧のみを抽出して表示することで、サービスプレフィックスと、そこに紐づくサービス名を取得します。

2-3.AWSのサービス名前空間の一覧を取得する

実際にやってみましょう。AWS CloudShellに接続後、以下のコマンドをコピー&ペーストして実行してください。

job_id=$(aws iam generate-service-last-accessed-details --arn arn:aws:iam::aws:policy/AdministratorAccess --output text) && \
while true; do \
    status=$(aws iam get-service-last-accessed-details --job-id $job_id --query 'JobStatus' --output text); \
    [ "$status" = "COMPLETED" ] && break; \
    [ "$status" = "FAILED" ] && echo "Job failed" && exit 1; \
    sleep 1; \
done && \
(echo "No.,ServiceName,ServiceNamespace"; \
 aws iam get-service-last-accessed-details --job-id $job_id --max-items 1000 \
    | jq -r '.ServicesLastAccessed[] | [.ServiceName, .ServiceNamespace] | @csv' \
    | awk '{print NR "," $0}') \
    | sed 's/"//g'

このコマンドが行う処理は以下の通りです。

1. ジョブの開始: AdministratorAccessポリシーの最終アクセス詳細を生成するジョブを開始し、ジョブIDを取得します。

2. ジョブの完了を待機: ジョブのステータスを1秒ごとにチェックします。完了したら次の処理に進み、失敗した場合はエラーメッセージを表示して終了します。

3. 結果の取得と処理:

• CSVヘッダー（No.,ServiceName,ServiceNamespace）を出力します。
• ジョブの結果を取得し（最大1000項目）、jqを使ってCSV形式に変換します。
• awkを使って各行に行番号を追加します。

4. 最終的な整形: sedを使用して、出力からダブルクォートを削除します。

実際にCloudShell上で実行したイメージは以下です。

2-4.2024年7月31日時点のAWSのサービス名前空間の一覧

せっかくなので、実行した結果を以下に記します。長いですが、何かにお役立てください。

3.まとめ

本記事では、AWSのサービス名前空間について説明しました。

普段我々が「AWSサービス」として認識するものとは少し違った、システムが認識するための、あいまい性が排除されたサービス名前空間、サービスプレフィックスが存在することを押さえておきましょう。

プログラムアクセスを行ったり、IAMポリシーの設計を行う際には切っても切り離せない概念ですので、しっかり身につけたいものです。本記事が理解の一助になっていれば幸いです。

クラスメソッドの千葉幸宏（チバユキ）がお届けしました。