AWS IAM Identity Center の Identity Store API がリソース ARN を直接指定可能に

AWS IAM Identity Center の Identity Store API において、従来はリソース ID のみを受け付けていた箇所で、ユーザー、グループ、グループメンバーシップ、およびアイデンティティストアのリソース ARN を直接指定できるようになりました。この変更はアドディティブ（追加的）な変更であり、既存のリソース ID を使用した統合は引き続きそのまま動作します。API のレスポンスは従来通りリソース ID を返します。

🛠️ エンジニア視点の考察

💡 解決される課題とメリット

以前は、CloudTrail や IAM ポリシーの評価結果からリソース ARN を取得した場合、Identity Store API を呼び出す前に ARN からリソース ID を抽出するカスタムロジック（文字列パース）を実装する必要がありました。今回のアップデートにより、ARN を直接渡せるようになったため、アプリケーションコードの簡素化と、パースエラーによるランタイムエラーの回避が実現できます。

🌏 日本国内リージョンでの利用状況

リサーチの結果、東京 (ap-northeast-1) および大阪 (ap-northeast-3) リージョンにおいて、本機能は利用可能であることが確認されています。日本の運用環境でも、スムーズに導入検討が可能です。

🚀 実務上のアドバイス

• コスト: 追加料金なしで利用可能です。

• エラーハンドリング: 不正な形式の ARN や、リソースタイプが一致しない ARN を指定した場合は ValidationException が返されるため、エラーハンドリングの設計に注意してください。

• 既存実装への影響: 既存の ID 指定方式はそのまま動作するため、移行の必要性は強制されませんが、リソース ARN をベースとしたワークフローを自動化している場合は、この新機能を利用することでコードの堅牢性を高めるめられます。

✅ 次のアクション

Identity Store API を利用したカスタムアプリケーションや自動化スクリプトを実装している場合、まずは既存の ARN 取得ロジックを、直接 ARN を渡す方式へリファクタリングできるか検討してみてください。

📚 Reference

Identity Store API Reference