AWS IAM outbound identity federation が OIDC discovery 用のインターフェイス型 VPC エンドポイントをサポート

AWS Identity and Access Management (IAM) の outbound identity federation 機能において、OpenID Connect (OIDC) discovery API 用のインターフェイス型 VPC エンドポイント（AWS PrivateLink）がサポートされました。これにより、VPC 内のワークロードはパブリックインターネットを経由せず、AWS ネットワーク内からプライベートに OIDC discovery メタデータおよび JSON Web Key Set (JWKS) 検証キーエンドポイントにアクセスできるようになります。

課題と解決策

これまで outbound identity federation を利用して外部サービスへ JWT を提示する場合、検証側（外部サービス）が AWS の OIDC discovery エンドポイントから公開鍵（JWKS）を取得してトークンを検証する必要がありました。しかし、このエンドポイントはパブリックインターネット経由でしかアクセスできなかったため、インターネットへの出口を持たない隔離された VPC 環境で動作する検証ワークロードは、鍵の取得ができず連携に支障がありました。

今回のアップデートでインターフェイス型 VPC エンドポイントが提供されたことで、ネットワーク的に隔離された環境でもセキュアに検証キーを取得できるようになり、セキュリティ要件と外部連携の両立が可能になります。

日本国内の利用可能性

リサーチの結果、本機能は東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）を含むすべての商用 AWS リージョンで利用可能です。

実務上のアドバイス

• コスト: 本機能自体の追加料金はありませんが、標準的な AWS PrivateLink の料金（エンドポイント時間料金およびデータ処理料金）が発生します。
• セキュリティ: インターネットゲートウェイや NAT Gateway を経由させたくない厳格なセキュリティポリシーを持つ環境において、非常に有効なオプションとなります。

次のアクション

まずは、現在 outbound identity federation を利用しており、かつ VPC 内の検証ワークロードがパブリックインターネット経由で鍵を取得している箇所の構成を見直してください。PrivateLink への移行により、通信経路の可視化とセキュリティレベルの向上が期待できます。

参考ドキュメント

• IAM ユーザーガイド: https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sts_oidc_vpc_endpoint_create.html