【速報】AWS IAM Identity Center、欧州ソブリンクラウド(ドイツ)でついに解禁！日本リージョンも最新状況を徹底解説！

AWS IAM Identity Centerが、AWS European Sovereign Cloud (ドイツ)リージョンで利用可能になりました。これにより、EU域内の顧客は、進化する主権要件を満たすことができます。

IAM Identity Center、欧州ソブリンクラウド展開の裏側と日本への影響

今回のドイツリージョンでの展開は、EUのデータ主権規制への対応という大きな課題を解決するものです。企業によっては、データがEU域外に流出しないことを厳格に求められるケースがあり、IAM Identity Centerのこの展開は、そうしたニーズに応える重要な一歩となります。

問題点と解決策

• 主権コンプライアンス: EU域内の顧客は、EU域外のリージョンに依存せずにIAM Identity Centerを利用できるようになり、GDPRなどの規制に対応できます。
• 集中ID管理: アカウントごとのIAM設定が不要になり、管理オーバーヘッドを削減できます。
• 多アカウントアクセス制御: AWS Organizations全体で統一された権限モデルを提供し、過剰な権限付与のリスクを軽減します。

日本リージョン(東京/大阪)の状況

AWS公式の裏取りによると、IAM Identity Centerは東京(ap-northeast-1)では問題なく利用可能です。大阪(ap-northeast-3)では、利用可能ですが、すべてのメンバーアカウントで手動でオプトインが必要です。オプトインしないアカウントでは、アクセスが拒否されるため、注意が必要です。

運用上の注意点

• オプトインリージョン(大阪など): AWS Organizations内のすべてのメンバーアカウントがリージョンにオプトインしていることを確認してください。
• プライマリ vs. 追加リージョン: プライマリリージョンがすべてのIDデータを保持し、追加リージョンは高可用性やレイテンシ最適化のためにレプリケートされますが、一部機能はプライマリリージョンのみで利用可能です。

コストについて

IAM Identity Center自体は追加料金はかかりませんが、AWS Organizationsの利用料金や、クロスリージョンデータ転送費用が発生する可能性があります。

セキュリティベストプラクティス

• すべてのユーザーに対してMFAを有効化してください。
• ABACを使用して、最小権限の原則を適用してください。
• CloudTrailログを監視して、IAM Identity CenterのAPIコールを監視してください。

最初にテストすべきこと

1. リージョナルデプロイメント: 東京(ap-northeast-1)と大阪(ap-northeast-3)でIAM Identity Centerをデプロイし、SSOアクセスを検証します。
2. 機能検証: 権限セットの割り当て、ABACポリシー、監査ログを確認します。
3. パフォーマンス: 東京/大阪と他のリージョンとの認証リクエストのレイテンシを測定します。

参考資料

• IAM Identity Center Region Data Storage and Operations
• Considerations for Choosing an AWS Region