Amazon MWAAがIAM Identity Center統合とマルチチーム環境をサポートし、詳細なアクセス制御を実現

Amazon Managed Workflows for Apache Airflow (Amazon MWAA) において、IAM Identity Center 統合とマルチチーム環境の2つの新機能が提供されました。これにより、企業のアイデンティティプロバイダーを使用したUIへのサインインが可能になり、IAMポリシーの条件キーを用いてDAG、接続、変数、プールなどのリソース単位で詳細な認可制御が行えます。また、マルチチーム環境では、S3上の専用DAGフォルダとIAM Identity Centerのグループメンバーシップに基づき、複数のチームが単一のMWAA環境を共有しつつ、自チームのDAGのみを表示・管理できるため、インフラコストの削減と管理の簡素化が実現します。

運用上のメリットと注意点

これまでMWAAでは、環境全体のアクセス権限を管理することが主でしたが、**「特定のDAGだけを特定のチームに見せたい」**といったきめ細かな制御が困難でした。チームごとにMWAA環境を分ける必要があり、コストと管理負荷（環境設定の重複など）が大きな課題となっていました。

今回のアップデートで、IAM Identity Centerによるリソースレベルの認可とマルチチーム環境が導入されたことで、単一の環境をセキュアに共有できるようになります。特に、S3のフォルダ構成とグループメンバーシップを紐付けることで、チーム間の分離を分離を効率的に実現できる点は実務上の大きな改善です。

日本国内の利用可能性

リサーチの結果、本機能は東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能です。国内のガバナンス要件でマルチリージョン構成を検討している場合も、安心して導入を検討してください。

実務的なアドバイス

• 権限設計の再検討: 単に権限を付与するのではなく、IAM Identity CenterのPermission Setで「どのリソースIDに対してどのアクションを許可するか」という条件キーを定義し、最小権限の原則を適用してください。
• コスト最適化: チームごとに環境を構築していた場合は、この機能を利用して環境を統合し、MWAA環境のベースラインコストを削減することを検討してください。

次のアクション

まずは、IAM Identity Centerのグループ設定とS3のDAGフォルダ構成を設計し、少数のチームでPoCを実施して、意図した通りにDAGの可視性が制限されるかを確認することをお勧めします。

参考ドキュメント

• IAM Identity Center integration documentation
• multi-team environments documentation