AWS STSがクロスパーティションフェデレーションをサポート、長期クレデンシャル不要でパーティション間のIAMロール引き受けが可能に

公式発表で確認できる事実

• AWS Security Token Service（AWS STS）が、異なるAWSパーティション間でのIAMアイデンティティフェデレーションをサポートしました。
• パーティションとは商用AWSリージョンやAWS GovCloud (US) Regionsなど、AWSリージョンのグループであり、各パーティションは独立したIAMインスタンスを持ちます。
• ワークロードは自身のパーティションのAWS STSから短命なトークンを取得し、既存のGetWebIdentityTokenおよびAssumeRoleWithWebIdentity APIを使って別パーティションの一時的なAWSクレデンシャルと交換します。
• どのアイデンティティが各ロールにアクセスできるかを制御し、組織全体のガバナンスを適用できます。
• 両パーティションのAWS CloudTrailでトークン使用状況を監査できます。
• 統合セキュリティ・コンプライアンスレポートや集中運用ツールなどのユースケースに対応します。
• 既存のPKIを運用している組織向けには、IAM Roles Anywhereもクロスパーティションアクセスの選択肢として挙げられています。
• 追加料金なしで、商用AWSリージョン、AWS GovCloud (US) Regions、China Regions、AWS European Sovereign Cloud (Germany) Regionで利用可能です。
• 詳細はIAM User Guideの「Federating AWS identities across AWS partitions」およびブログ記事「Simplify cross-partition access with AWS IAM outbound identity federation」を参照できます。

当サイトの考察

これまでパーティション間のアクセスは、自動失効しないIAMユーザーアクセスキーへの依存が一般的でした。今回の機能により、短命なトークンベースのアクセスへ移行できるため、クレデンシャルの漏洩リスクや管理コストを削減できる可能性があります。商用環境とGovCloud環境を併用している組織や、China Regionsとの連携が必要な組織にとって特に有用な機能です。

確認できていない事項

• 東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）での具体的な提供状況は資料から確認できません（商用AWSリージョン全体として記載されています）。
• 機能の一般提供（GA）開始の正確な日付は資料から確認できません。

この記事は、AWS 公式の発表をもとに AI が作成し、自動で公開しています。