IAMポリシーConditionの書き方｜条件演算子と条件キー一覧

IAMポリシーの Condition とは、「どんなときにそのステートメントを効かせるか」を、条件演算子・条件キー・値の3つの組み合わせで書く要素です。たとえば「接続元の IP アドレスがこの範囲のとき」「MFA で認証しているとき」「タグが一致するとき」といった条件を付けられます。

この記事では、条件演算子の全一覧表と、よく使うグローバル条件キーの早見表をまず示し、そのあとで「複数の条件は AND か OR か」「キーが無いときはどう判定されるか」という、つまずきやすい2つの規則を図と真理値表で整理します。コピーして使える JSON も10本用意しました。

確認環境：Ubuntu 24.04、Python 3.11、AWS CLI 1.46.1。評価規則は AWS IAM ユーザーガイドの記述をもとにし、その規則を Python で書き写した小さな評価器で、ガイドに載っている評価例の表 24 件と同じ結果になることを確かめています。掲載した JSON 10本は、AWS の API をローカルで再現するツール（moto 5.2.3）に登録して、文法が通ることを確かめました。

Condition の早見表

基本の形

"Condition": {
  "条件演算子": {
    "条件キー": "値"
  }
}

読み方は「条件キーの値を、条件演算子のやり方で、値と比べる」です。次の例は「リクエスト先のリージョン（aws:RequestedRegion）が、文字列として ap-northeast-1 に等しい（StringEquals）とき」という意味になります。

"Condition": {
  "StringEquals": { "aws:RequestedRegion": "ap-northeast-1" }
}

評価規則の早見表

やりたいこと別の組み合わせ

条件演算子の全一覧

AWS IAM ユーザーガイドの「条件演算子」のページに沿って、型ごとにまとめます。

文字列

部分一致をしたいときは StringLike を使い、ワイルドカードを明示します。文字列の演算子では、値に ${aws:username} のようなポリシー変数を書けます。

数値

日付

aws:CurrentTime や aws:EpochTime と組み合わせます。値は ISO 8601 形式（例：2026-10-01T00:00:00Z）か、エポック秒で書きます。

Bool・バイナリ

IP アドレス

値は CIDR 形式（例：203.0.113.0/24、2001:DB8:1234:5678::/64）で書きます。プレフィックスを省くと /32 として扱われます。

ARN

キーの有無を調べる：Null

末尾に付ける：IfExists

IfExists は、Null 以外のどの演算子にも末尾に付けられます（StringEqualsIfExists、BoolIfExists、NotIpAddressIfExists など）。意味は「キーが有れば普通に比べる。キーが無ければ、その条件は true とする」です。

先頭に付ける：ForAllValues と ForAnyValue

aws:TagKeys のように、1回のリクエストで複数の値を持つ条件キー（複数値のキー）には、演算子の先頭に次のどちらかを付けます。

ForAllValues を Allow で使うときは、Null の "false" を組み合わせて「キーが有ること」も条件にします。キーが無いリクエストまで許可してしまうことを防ぐためで、ユーザーガイドでも勧められている書き方です。

"Condition": {
  "ForAllValues:StringEquals": { "aws:TagKeys": ["environment", "cost-center"] },
  "Null": { "aws:TagKeys": "false" }
}

aws:ResourceTag/タグキー のように値が1つだけのキー（単一値のキー）には、この修飾子は付けません。

型ごとの対応表

よく使うグローバル条件キーの早見表

「aws:」で始まるキーは、サービスをまたいで使えるグローバル条件キーです。「リクエストに含まれるとき」の列が大切で、含まれない場面があるキーは、あとで説明する「キーが無いとき」の規則に関わります。

接続元（ネットワーク）

認証の状態

利用者（プリンシパル）

リクエストの内容とリソース

このほかに、s3:prefix や ec2:InstanceType のような、サービスごとの条件キーがあります。使えるキーは操作やリソースの種類によって決まっています。

複数条件の評価規則：AND と OR

規則は2つだけです。

• 演算子どうし、条件キーどうしは AND（全部を満たす必要がある）
• 1つの条件キーに書いた複数の値は OR（どれか1つに一致すればよい）

flowchart TD
  C["Condition（すべて AND）"] --> O1["StringEquals"]
  C --> O2["IpAddress"]
  O1 --> K1["aws:PrincipalTag/team<br>（値どうしは OR）"]
  O1 --> K2["aws:RequestedRegion<br>（値どうしは OR）"]
  O2 --> K3["aws:SourceIp<br>（値どうしは OR）"]
  K1 --> V1["web"]
  K1 --> V2["data"]
  K2 --> V3["ap-northeast-1"]
  K2 --> V4["ap-northeast-3"]
  K3 --> V5["203.0.113.0/24"]

図を JSON にすると、次のとおりです。

"Condition": {
  "StringEquals": {
    "aws:PrincipalTag/team": ["web", "data"],
    "aws:RequestedRegion": ["ap-northeast-1", "ap-northeast-3"]
  },
  "IpAddress": {
    "aws:SourceIp": "203.0.113.0/24"
  }
}

これは「（team が web または data）かつ（リージョンが東京 または 大阪）かつ（接続元が 203.0.113.0/24 の中）」という意味です。

否定の演算子に複数の値を書くと「どれにも一致しない」

"Condition": {
  "StringNotEquals": {
    "aws:RequestedRegion": ["ap-northeast-1", "ap-northeast-3"]
  }
}

これは「東京でも大阪でもない」ときに true になります。「東京ではない、または、大阪ではない」（＝いつも true）にはならないので、否定の演算子に許可したい値を並べる書き方は、そのまま「それ以外」を表せます。

同じ演算子は1回だけ書く

JSON では、同じ階層に同じ名前のキーを2回書けません。同じ演算子で複数の条件キーを調べたいときは、1つの演算子の中にまとめます。

"Condition": {
  "StringEquals": {
    "aws:PrincipalTag/team": "web",
    "aws:RequestedRegion": "ap-northeast-1"
  }
}

「同じキーについて、ある日時以後かつ別の日時より前」のように、同じ条件キーに2つの比較をしたいときは、DateGreaterThanEquals と DateLessThan のように、演算子を分けて書きます（コピペ用 JSON の 8 を参照）。

キーが無いときの評価：Deny と BoolIfExists の真理値表

条件キーは、いつもリクエストに含まれるとは限りません。たとえば aws:MultiFactorAuthPresent は、アクセスキーで署名した CLI のリクエストには含まれません。このときの判定は、ユーザーガイドで次のように決められています。

これを「MFA を必須にする」書き方に当てはめると、次の真理値表になります。列は、リクエストに含まれる aws:MultiFactorAuthPresent の状態です。

読み取れることは3つあります。

• Deny で MFA を必須にするなら BoolIfExists と "false" の組み合わせを使う。Bool だけだと、キーが無いリクエスト（アクセスキーでの呼び出し）は条件が false になり、拒否の対象から外れる
• Allow で MFA を条件にするなら、IfExists を付けない Bool と "true"を使う。BoolIfExists にすると、キーが無いリクエストまで許可される
• 迷ったら「キーが無いリクエストを、拒否したいのか、通したいのか」を先に決め、上の表から選ぶ

ユーザーガイドも、MFA の確認には Deny・BoolIfExists・false の組み合わせを勧めており、この形は MFA なしの一時的な認証情報と、アクセスキーなどの長期の認証情報によるリクエストの両方を拒否する、と説明しています。

評価規則を手元で試す：Python の小さな評価器

規則を文章で覚えるより、値を変えて試したほうが早く身に付きます。ここまでの規則を Python に書き写した、学習用の評価器を載せます。実際の判定は AWS の側で行われるもので、これは規則を理解するための道具です。cond_eval.py として保存します。

"""IAM の Condition の評価規則を、公式ドキュメントの記述どおりに写した学習用の評価器。
context は {条件キー: 値 または 値のリスト}。キーが無い = リクエストにその情報が含まれない。"""
import ipaddress
import re
from datetime import datetime


def _like(pattern, value):
    # * は0文字以上、? は1文字に一致
    rx = "".join(".*" if c == "*" else "." if c == "?" else re.escape(c) for c in pattern)
    return re.fullmatch(rx, value) is not None


def _arn(pattern, value):
    p, v = pattern.split(":", 5), value.split(":", 5)
    return len(p) == len(v) and all(_like(a, b) for a, b in zip(p, v))


def _date(s):
    return datetime.fromisoformat(str(s).replace("Z", "+00:00"))


def _bool(s):
    return str(s).lower() == "true"


# 演算子名 -> (1つの値どうしを比べる関数, 否定の演算子か)
OPS = {
    "StringEquals": (lambda p, v: p == v, False),
    "StringNotEquals": (lambda p, v: p == v, True),
    "StringEqualsIgnoreCase": (lambda p, v: p.lower() == v.lower(), False),
    "StringNotEqualsIgnoreCase": (lambda p, v: p.lower() == v.lower(), True),
    "StringLike": (_like, False),
    "StringNotLike": (_like, True),
    "NumericEquals": (lambda p, v: float(v) == float(p), False),
    "NumericNotEquals": (lambda p, v: float(v) == float(p), True),
    "NumericLessThan": (lambda p, v: float(v) < float(p), False),
    "NumericLessThanEquals": (lambda p, v: float(v) <= float(p), False),
    "NumericGreaterThan": (lambda p, v: float(v) > float(p), False),
    "NumericGreaterThanEquals": (lambda p, v: float(v) >= float(p), False),
    "DateEquals": (lambda p, v: _date(v) == _date(p), False),
    "DateNotEquals": (lambda p, v: _date(v) == _date(p), True),
    "DateLessThan": (lambda p, v: _date(v) < _date(p), False),
    "DateLessThanEquals": (lambda p, v: _date(v) <= _date(p), False),
    "DateGreaterThan": (lambda p, v: _date(v) > _date(p), False),
    "DateGreaterThanEquals": (lambda p, v: _date(v) >= _date(p), False),
    "Bool": (lambda p, v: _bool(p) == _bool(v), False),
    "IpAddress": (lambda p, v: ipaddress.ip_address(v) in ipaddress.ip_network(p, strict=False), False),
    "NotIpAddress": (lambda p, v: ipaddress.ip_address(v) in ipaddress.ip_network(p, strict=False), True),
    "ArnEquals": (_arn, False),
    "ArnLike": (_arn, False),
    "ArnNotEquals": (_arn, True),
    "ArnNotLike": (_arn, True),
}


def _as_list(x):
    return x if isinstance(x, list) else [x]


def test_key(operator, key, policy_values, context):
    """1つの演算子・1つの条件キーの判定"""
    policy_values = _as_list(policy_values)
    present = key in context
    if operator == "Null":  # "true" = キーが無い、"false" = キーが有る
        return _bool(policy_values[0]) == (not present)

    qualifier = None
    if ":" in operator:  # ForAllValues: / ForAnyValue:
        qualifier, operator = operator.split(":", 1)
    if_exists = operator.endswith("IfExists")
    if if_exists:
        operator = operator[: -len("IfExists")]
    match, negated = OPS[operator]

    if not present:
        if if_exists:
            return True  # IfExists：キーが無ければ true
        if qualifier == "ForAllValues":
            return True  # 空の集合は「すべて一致」とみなされる
        if qualifier == "ForAnyValue":
            return False
        return negated  # 肯定の演算子は false、否定の演算子は true

    def hit(v):  # リクエストの値1つが、ポリシーの値のどれかに一致するか（OR）
        return any(match(p, v) for p in policy_values)

    values = _as_list(context[key])
    if qualifier == "ForAllValues":
        return all(hit(v) != negated for v in values)
    if qualifier == "ForAnyValue":
        return any(hit(v) != negated for v in values)
    return hit(values[0]) != negated  # 否定の演算子は「どれにも一致しない」（NOR）


def evaluate(condition, context):
    """Condition ブロック全体：演算子どうし、キーどうしはすべて AND"""
    return all(
        test_key(op, key, vals, context)
        for op, keys in condition.items()
        for key, vals in keys.items()
    )

使い方

from cond_eval import evaluate

condition = {
    "StringEquals": {"aws:RequestedRegion": ["ap-northeast-1", "ap-northeast-3"]},
    "IpAddress": {"aws:SourceIp": "203.0.113.0/24"},
}
print(evaluate(condition, {"aws:RequestedRegion": "ap-northeast-3", "aws:SourceIp": "203.0.113.25"}))
print(evaluate(condition, {"aws:RequestedRegion": "us-east-1", "aws:SourceIp": "203.0.113.25"}))
print(evaluate(condition, {"aws:RequestedRegion": "ap-northeast-1", "aws:SourceIp": "198.51.100.7"}))
print(evaluate(condition, {"aws:RequestedRegion": "ap-northeast-1"}))

True
False
False
False

1行目は両方の条件を満たす場合、2行目はリージョンが合わない場合、3行目は IP が合わない場合、4行目は aws:SourceIp が無い場合です。

ユーザーガイドの評価例と突き合わせる

ユーザーガイドには、条件とリクエストの組み合わせごとに「一致する／しない」を示した表が載っています。AND と OR の例、否定の演算子の例、IfExists の例、ForAllValues と ForAnyValue の例、あわせて 24 件を評価器に通したところ、すべて同じ結果になりました。

AND/OR 1        評価器=True  ドキュメント=True  一致
AND/OR 2        評価器=False ドキュメント=False 一致
…（省略）…
IfExists 3      評価器=True  ドキュメント=True  一致
ForAllValues 1  評価器=True  ドキュメント=True  一致
…（省略）…
ForAnyValue 6   評価器=False ドキュメント=False 一致
24/24 件が一致

前の章の真理値表も、この評価器で {"Bool": {...}} と {"BoolIfExists": {...}} を、キーの有無を変えながら評価して作ったものです。

Effect | 演算子 | 値 | true | false | キーなし
Deny | Bool | false | 拒否しない | 拒否する | 拒否しない
Deny | BoolIfExists | false | 拒否しない | 拒否する | 拒否する
Allow | Bool | true | 許可する | 許可しない | 許可しない
Allow | BoolIfExists | true | 許可する | 許可しない | 許可する

AWS のシミュレーターで確かめる

AWS の側で判定を確かめたいときは、aws iam simulate-custom-policy が使えます。--context-entries で条件キーの値を渡せるので、Condition の動きを、実際に操作を行わずに調べられます。AWS CLI のリファレンスに載っている例は次のとおりです。

aws iam simulate-custom-policy \
    --policy-input-list '{"Version":"2012-10-17","Statement":{"Effect":"Allow","Action":"dynamodb:*","Resource":"*","Condition":{"DateGreaterThan":{"aws:CurrentTime":"2018-08-16T12:00:00Z"}}}}' \
    --action-names dynamodb:CreateBackup \
    --context-entries "ContextKeyName='aws:CurrentTime',ContextKeyValues='2019-04-25T11:00:00Z',ContextKeyType=date"

リファレンスの出力例では、EvalDecision が allowed になっています。EvalDecision の値は allowed（許可）、explicitDeny（明示的な拒否）、implicitDeny（許可が無いための拒否）の3種類です。ContextKeyType には string、stringList、numeric、boolean、ip、date などを指定します。

コピペ用 JSON 10本

バケット名、IP アドレス、ID などは例の値です。自分の環境の値に置き換えて使います。各 JSON の下に、Condition を上の評価器に通した結果を「リクエストの情報 → 条件の結果」の形で添えました。Deny のステートメントでは true が「拒否する」、Allow では true が「許可の対象になる」を表します。

1. IP 制限：決めた範囲の外からの操作を拒否する

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyOutsideOffice",
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": [
            "203.0.113.0/24",
            "2001:db8:1234:5678::/64"
          ]
        }
      }
    }
  ]
}

NotIpAddress は否定の演算子なので、aws:SourceIp が無いリクエストも拒否の対象になります。VPC エンドポイント経由のリクエストには aws:SourceIp が含まれないため、VPC の中からも使う場合は、次の 2 のように aws:SourceVpce を使う条件と使い分けます。また、ユーザーガイドには、AWS のサービスが代わりに行う呼び出しを Deny で止めてしまわないよう、aws:PrincipalIsAWSService が false であることを条件に加える方法が紹介されています。

2. IP 制限（VPC 版）：決めた VPC エンドポイント経由だけにする

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyOutsideVpce",
      "Effect": "Deny",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::example-report-bucket",
        "arn:aws:s3:::example-report-bucket/*"
      ],
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpce": "vpce-0123456789abcdef0"
        }
      }
    }
  ]
}

3. MFA 必須：停止と削除は MFA で認証したときだけ

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyStopWithoutMfa",
      "Effect": "Deny",
      "Action": [
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": "*",
      "Condition": {
        "BoolIfExists": {
          "aws:MultiFactorAuthPresent": "false"
        }
      }
    }
  ]
}

このステートメントは拒否だけを定めています。操作そのものの許可は、別の Allow のステートメントで与えます。

4. MFA 必須（時間つき）：MFA 認証から1時間以内だけ許可する

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowWithinOneHourOfMfa",
      "Effect": "Allow",
      "Action": "ec2:TerminateInstances",
      "Resource": "*",
      "Condition": {
        "NumericLessThan": {
          "aws:MultiFactorAuthAge": "3600"
        }
      }
    }
  ]
}

NumericLessThan は肯定の演算子なので、キーが無いリクエストは許可の対象になりません。

5. タグ一致：自分と同じ team タグのインスタンスだけ起動・停止できる

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowSameTeam",
      "Effect": "Allow",
      "Action": [
        "ec2:StartInstances",
        "ec2:StopInstances"
      ],
      "Resource": "arn:aws:ec2:*:*:instance/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/team": "${aws:PrincipalTag/team}"
        }
      }
    }
  ]
}

${aws:PrincipalTag/team} はポリシー変数で、評価のときに利用者のタグの値に置き換えられます。チームが増えてもポリシーを書き足さずに済むのが、この書き方の良いところです。

6. タグ一致（作成時）：決めたタグを付けたときだけ作成できる

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCreateWithTags",
      "Effect": "Allow",
      "Action": "ec2:CreateVolume",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/env": [
            "dev",
            "stg"
          ]
        },
        "ForAllValues:StringEquals": {
          "aws:TagKeys": [
            "env",
            "team"
          ]
        }
      }
    }
  ]
}

StringEquals が「env タグの値は dev か stg」、ForAllValues:StringEquals が「付けてよいタグキーは env と team だけ」を表します。aws:RequestTag/env の条件があるので、タグを付けないリクエストは許可の対象になりません。

7. リージョン制限：東京と大阪以外での操作を拒否する

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyOutsideJapan",
      "Effect": "Deny",
      "NotAction": [
        "iam:*",
        "sts:*",
        "support:*",
        "cloudfront:*",
        "route53:*"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": [
            "ap-northeast-1",
            "ap-northeast-3"
          ]
        }
      }
    }
  ]
}

IAM や CloudFront のように、リージョンを選ばずに使うサービスは NotAction で対象から外しています。外すサービスは、使っているものに合わせて見直します。

8. 期間限定：2026年10月の間だけ読み取りを許可する

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowDuringOctober",
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::example-report-bucket/*",
      "Condition": {
        "DateGreaterThanEquals": {
          "aws:CurrentTime": "2026-09-30T15:00:00Z"
        },
        "DateLessThan": {
          "aws:CurrentTime": "2026-10-31T15:00:00Z"
        }
      }
    }
  ]
}

日時は UTC で書いています。日本時間の 10月1日 0:00 は、UTC では 9月30日 15:00 です。始まりと終わりを、別々の演算子（DateGreaterThanEquals と DateLessThan）に分けて書くのがポイントです。

9. HTTPS 必須：暗号化されていない接続を拒否する（バケットポリシー）

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyHttp",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::example-report-bucket",
        "arn:aws:s3:::example-report-bucket/*"
      ],
      "Condition": {
        "Bool": {
          "aws:SecureTransport": "false"
        }
      }
    }
  ]
}

これは S3 のバケットポリシー（リソースに付けるポリシー）なので、Principal を書いています。

10. 一時的な認証情報だけ許可する（Null の例）

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOnlyTemporaryCredentials",
      "Effect": "Allow",
      "Action": "ec2:Describe*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:TokenIssueTime": "false"
        }
      }
    }
  ]
}

aws:TokenIssueTime は一時的な認証情報を使うときだけ含まれるので、「キーが有ること」（Null が "false"）を条件にすると、ロールなどの一時的な認証情報による操作だけを許可できます。

つまずきやすい点のチェックリスト

よくある質問

Q. Condition の中で OR を書くには、どうすればよいですか？ A. 同じ条件キーについての OR は、値を配列で並べます。別々の条件キーについての OR（A または B）は、1つの Condition の中では書けないので、ステートメントを2つに分けます。ステートメントどうしは、どれか1つが当てはまれば効くためです。

Q. StringEquals と StringLike は、どう使い分けますか？ A. 値がはっきり決まっているときは StringEquals、前方一致などの部分一致をしたいときは StringLike とワイルドカードを使います。

Q. IfExists は、どんなときに付けますか？ A. 「キーが有るときだけ比べたい」ときです。1つのステートメントが複数の種類のリソースにまたがっていて、一部のリソースにしか無い条件キーを使う場合や、Deny でキーが無いリクエストも止めたい場合に使います。

Q. 書いた Condition が思ったとおりに効くか、確かめる方法はありますか？ A. aws iam simulate-custom-policy に --context-entries で条件キーの値を渡すと、操作を行わずに判定だけを確かめられます。規則の理解には、この記事の評価器で値を変えて試す方法も役立ちます。

まとめ

• Condition は 条件演算子・条件キー・値 の3つで書く
• 演算子どうし・キーどうしは AND、1つのキーの複数の値は OR。否定の演算子の複数の値は「どれにも一致しない」
• リクエストにキーが無いと、肯定の演算子は false、否定の演算子は true、IfExists は true
• Deny で MFA を必須にするなら BoolIfExists と "false"。Allow なら Bool と "true"
• 複数値のキーには ForAllValues / ForAnyValue。ForAllValues を Allow で使うなら Null の "false" を添える
• 条件キーは 「リクエストに含まれるとき」 まで確かめて選ぶ
• 判定は simulate-custom-policy で、操作を行わずに確かめられる

参考・出典

• AWS IAM ユーザーガイド「IAM JSON ポリシー要素：条件演算子（reference_policies_elements_condition_operators）」
• AWS IAM ユーザーガイド「複数のコンテキストキーまたは値による条件（reference_policies_condition-logic-multiple-context-keys-or-values）」
• AWS IAM ユーザーガイド「単一値と複数値のコンテキストキー（reference_policies_condition-single-vs-multi-valued-context-keys）」
• AWS IAM ユーザーガイド「AWS グローバル条件コンテキストキー（reference_policies_condition-keys）」
• AWS CLI Command Reference「iam simulate-custom-policy」

株式会社RJC ― SI事業・SES事業・AI駆動開発。RJCは一緒に成長を楽しめる会社です。