AWS STSによるクロスパーティション・フェデレーションのサポート開始

AWS Security Token Service (AWS STS) が、AWSアイデンティティを使用した「クロスパーティション・フェデレーション」をサポートしました。これにより、あるパーティション（例：商用リージョン）のIAMアイデンティティを持つワークロードが、別のパーティション（例：AWS GovCloudや中国リージョン）のIAMロールに対して、長期的な認証情報（アクセスキーなど）を保存することなく、一時的な認証情報を取得できるようになります。既存の GetWebIdentityToken および AssumeRoleWithWebIdentity API を使用して、短期間有効なトークンを交換することで実現します。本機能は、すべての商用AWSリージョン、AWS GovCloud (US)、中国リージョン、およびAWS European Sovereign Cloud (Germany) で追加料金なしで利用可能です。

🛠️ エンジニア視点の考察

🔴 Problem/Solution

以前は、商用リージョンとAWS GovCloudや中国リージョンといった、IAMが独立した「パーティション」を跨ぐワークロードを管理する場合、自動的に期限切れにならないIAMユーザーのアクセスキーなどの「長期的な認証情報」を保持する必要がありました。これはセキュリティ上の大きなリスクでした。今回のアップデートにより、短期間有効なトークンを利用したフェデレーションが可能になり、長期的なキーの管理コストと漏洩リスクを大幅に削減できます。

🇯🇵 日本国内の利用状況

リサーチ結果に基づくと、本機能は東京 (ap-northeast-1) および大阪 (ap-northeast-3) を含むすべての商用AWSリージョンで利用可能です。追加料金なしで利用できるため、国内の商用リージョンから他パーティションへのアクセスを検討している組織にとって非常に有用です。

💡 実務上のアドバイス

• セキュリティ向上: 長期的なアクセスキーを廃止し、STSによる一時的な認証情報への移行を推奨します。
• 監査の容易性: ソース側とターゲット側の両方のパーティションで CloudTrail にイベントが記録されるため、ガバナンスとコンプライアンスの遵守が容易になります。
• 代替案の検討: すでに組織内で公開鍵基盤 (PKI) を運用している場合は、IAM Roles Anywhere も有力な選択肢となります。

🚀 次のアクション

まずは、既存のクロスパーティション・アクセスが必要なワークロードにおいて、GetWebIdentityToken と AssumeRoleWithWebIdentity をAPI経由で使用するフローを検証・テストしてください。

📚 Reference

• AWS IAM User Guide: Federating AWS identities across AWS partitions
• AWS Blog: Simplify cross-partition access with AWS IAM outbound identity federation