基本的にはIAMロールの使用が推奨されます。EC2やLambdaなどのAWSサービスにはロールを割り当て、人間のユーザーもIAM Identity Centerなどでロールを使う形が理想的です。IAMユーザーは、どうしても長期的なアクセスキーが必要な場合（一部のCI/CDツールなど）に限定しましょう。

既存のID管理システム（Active Directory、Okta、Google Workspaceなど）をそのまま活用できるため、ユーザーの追加・削除がAWS側で不要になります。退職者のアクセス権削除漏れなどのリスクも軽減できます。また、ユーザーは一つのパスワードで複数のシステムにアクセスできるため利便性も向上します。

たとえ話でいうと「受付で役職バッジを借りる」ことに相当します。技術的には、AWS STSに対して「このロールの権限を一時的に使わせてください」とリクエストし、許可されると一時的なセキュリティ認証情報が発行されます。この認証情報には有効期限があり、期限が切れると自動的に無効になります。

パスワードはAWSマネジメントコンソール（Webブラウザ）へのログインに使用します。一方、アクセスキー（アクセスキーIDとシークレットアクセスキー）はAWS CLIやSDKからプログラム的にAWSを操作する際に使用します。どちらも長期的な認証情報なので、定期的なローテーションとMFAの設定が重要です。